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THUẬT NGỮ VÀ TỪ VIẾT TÁT 


jnh nghĩa/ Từ viết tắt Giải thích 














. Thuật toán mã hóa dữ liệu được cải tiến từ DES bằng | 
: các thêm các vòng mã hóa. ị 










(Advanced Encryption ¡ Chuẩn mã hóa đữ liệu nâng cao được phát triển nhằm | 


' Standard) ' thay thế DES. 









Ủy quyền chứng thực 


Chính sách chứng thư số 


Quy chế chứng thực 


Danh sách các chứng thư số bị thu hồi 


Chứng thư số 


Chuân mã hõa dữ liệu đôi xứng được sử dụng rộng rãi. ị 


(EFY Certification 





ni .Hệ thống cung cấp dịch vụ chứng thực chữ ký số EFY | 
- Authority) ị 






. Thiết bị phần cứng bảo mật dùng để tạo, lưu trữ và bảo . 
:vệ các khóa sử dụng trong mã hóa. Trong hệ thống : 
.PKIL, HSM thường được dùng để bảo vệ các cặp khóa ị 
ị quan trọng như các cặp khóa của RootCA và SubCA. - 






DAP (LIghtwelgh(  Directory 













Giao thức chuẩn truy nhập thư mục 














KI (Khóa công khai Infrastructure) 


Hạ tâng khoá công khai 





13.OCSP (Online Certificate Status Giao thức kiểm tra trạng thái chứng thư số trực tuyến 


Cơ quan đăng ký 


(Root Certification : Hệ thống cấp phát chứng thư số mức gốc 


Authority) 
. Thuật toán mật mã khóa công khai RSA, dùng để sinh | 
: cặp khóa 





-SubCA_ (Subordinate Certification 
- Authority) 







.Hệ thống cấp phát chứng thư số mức con 


ị Thiết bị bảo vệ khóa của người dùng trong hệ thống 
.PKI (USB Token hoặc Smartcard...) ị 
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I- GIỚITHIỆU 


H Tổng quan 


EFY-CA là tên gọi của dịch vụ chứng thực chữ ký số công cộng do Công ty cô phần công nghệ 
tin học EFY Việt Nam cung cấp. Các quy định vê chính sách chứng thư sô của dịch vụ EFY-CA 
được trình bày trong tài liệu này gồm có các quy trình quản lý câp phát, gia hạn, thu hồi, tạm 
dừng, khôi phục, hủy bỏ chứng thư số cho các thuê bao là cá nhân, tổ chức doanh nghiệp... 


Bản quy chế chứng thực mô tả các thủ tục và cơ chế thực thi của nhà cung cấp chứng thư số của 
hệ thông EFY-CA. Quy chế chứng thực mô tả các điều khoản và điều kiện thực hiện của nó 
nhằm cung cấp tới các cơ quan quản lý cũng như người sử dụng những mô tả rõ ràng về các dịch 
vụ của hệ thống và các điều kiện để sử dụng chúng. Ngoài ra, nó cũng đưa ra những đảm bảo về 
mặt an toàn bảo mật và an toàn thông tin của hệ thống EFY-CA và các dịch vụ chứng thực chữ 
ký số cung cấp cho khách hàng. 

Hệ thống EFY-CA được tuân thủ theo Nghị định số 130/2018/NĐ-CP ngày 27 tháng 9 năm 2018 
của Chính phủ quy định chỉ tiết thu hành luật giao dịch điện tử về chữ ký số và dịch vụ chứng 
thực chữ ký số, Thông tư số 31/2020/TT-BTTTT ngày 30 tháng 10 năm 2020. 





I2 Tên ôàiliệu và nhận dạng 

Tài liệu này được gọi là quy chế chứng thực của nhà cung cấp dịch vụ chứng thư số EEY- 
CA(EFY-CA/CPS). Bản quy chế này được chấp nhận bởi đơn vị quản lý của Tổ chức cung cấp 
dịch vụ chứng thực chữ ký số quốc gia (RootCA) là Trung tâm Chứng thực điện tử Quốc gia, Bộ 
thông tin và truyền thông (Trung tâm CTĐTQG, bộ TT&TT). Các chứng thư số do EFY-CA 
phát hành có số Object Identifier (OID), do Trung tâm CTĐTQG cấp để chỉ ra đường dẫn của 
bản CPS này. 





I3  Đốitưwpthaimgh 

- - Hệ thống dịch vụ chứng thực chữ ký số Quốc gia do Bộ Thông tin và Truyền thông quản 
lý là hệ thông RootCA Quôc gia. 

- Hệ thống EFY-CA là hệ thống CA cấp dưới của RootCA Quốc gia, được Bộ Thông tin 
và Truyên thông câp phép hoạt động theo quy định của pháp luật 

Bộ phận xử lý đăng kí EFY-RA (Registration Authority — RA): Chịu trách nhiệm tiếp nhận 

các yêu cầu đăng ký, hủy bỏ, tạm dừng, thu hồi, gia hạn của thuê bao và kiểm tra, xác thực 

các yêu cầu này. Đây cũng có thể coi là các đại lý của hệ thống EFY-CA, các chức năng 

chính: 

- _ Xác nhận nhân dạng của một cá nhân, tô chức, doanh nghiệp. 

- - Khởi tạo quá trình cấp, gia hạn, thu hồi, tạm dừng chứng thư số với CA trên vai trò đại 
diện cho người dùng cuôi. 

- __ Có thể hỗ trợ tạo khoá cho người dùng cuối trên thiết bị lưu khóa PKI Token. 

- _ Thực hiện chức năng quản lý vòng đời của chứng thư số. 

Các thực thể cuối (End Entities - EE): là những thuê bao sẽ sử dụng dịch vụ chứng thực chữ 

ký số của hệ thống EFY- CA. Thực thể có thể là người sử dụng, tổ chức, doanh nghiệp hoặc 


một chương trình phần mềm, thiết bị, dịch vụ web, thư điện tử. Có thể sở hữu chứng thư số, 
hoặc truy vẫn đến chứng thư số. Các nhóm thực thê cuối bao gồm: 


Thuê bao (Subscriber) là một người, một tổ chức, hay một chương trình phần mềm, thiết bị 
phân cứng, dịch vụ web, thư điện tử. 
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Đối tác tin tưởng (Relying Party) là một người, một tổ chức, hay một thực thể sử dụng 
chứng thư sô của hệ thông EFY-CA và các thông tin khác từ kho lưu trữ chứng thư sô đê xác 
thực chứng thư sô và xác thực chữ ký sô của thuê bao. 


Bộ Thông tin và truyền 
thông 


CA quốc gia - Root CA 
(Root CA) 






Cấp phát, quản lý các chứng 
thư số SubCA 


Các SubCA 
được cấp 
phép 


Thuê bao 


Thuê bao 





Sử dụng chứng thư 

L4.1 Sử dụng chứng thư số họp lệ 

L4.LI Chứng thư số của EFY-CA 

Chứng thư số của EFY-CA được cấp bởi RootCA quốc gia với mục đích sử dụng chính như sau: 


digifalSignature, nonrepudiatlon, keyAgreement, dataEncipherment và keyEncipherment (các 
trường trong Key Usage của chứng thư số). 
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Chứng thư số EFY-CA được sử dụng để ký phát hành chứng thư số cho thuê bao, các danh sách 
hủy bỏ CRLs của EFY-CA, chứng thư số cho hệ thống kiểm tra chứng thư số trực tuyến OCSP; 
để xác thực các chứng thư số do EFY-CA cấp và xác thực dữ liệu đã ký số. 


L4.12 Các chứng thư số do EFY-CA phát hành 


Chứng thư được cấp cho cá nhân: chứng thư được sử dụng với mục đích cá nhân, xác định danh 
tính. Phục vụ ký sô, xác thực tài liệu điện tử, xác thực đăng nhập, SSL, mail. 


Chứng thư được cấp cho tô chức: chứng thư được cấp cho một tô chức, doanh nghiệp. Chứng thư 
sô cho thiệt bị HSM, SSL server, mail server. 


Chứng thư số CodeSigning. 
L42 — Cáctrườnghợpbjcấm 


Sử dụng chứng thư số sai mục đích, không được nêu ở mục 1.4 theo các thuộc tính của chứng 
thư (Key Ủsage) sẽ bị câm. 





IS Quảnÿquydếchứngthực 
L5 Tổ chức quản lý quy chế chứng thực 
Công ty EFY-CA là tô chức viết và cập nhật Quy chế chứng thực. 
Quy chế chứng thực có thể được tải tại website: http://efyca.vn/download/CPS 
LS2 Thông tin liên hệ 
Liên hệ l: 
- Địa chỉ: Địa chỉ: Tầng 9 Tòa nhà Sannam số 78 Duy Tân, Phường Dịch Vọng Hậu Quận 
Câu Giây TP. Hà Nội; 
- _ Số điện thoại: 04 3226 3099; 
- _ Email: efyca@efy.com.vn; 
- - Website: www.efÍyca.vn. 
Lã.3 Thủ tục phê duyệt Quy chế chứng thực 
Công ty EFY-CA sẽ phê duyệt Quy chế chứng thực và phát hành quy chế trên website. 


Phiên bản được cập nhật có tính ràng buộc đối với tất cả thuê bao bao gồm thuê bao và các bên 
dựa vào các chứng thư sô đã được ban hành theo một phiên bản trước của Quy chê chứng thực. 





l6 — ĐịmhnghavàtrvÉếtốt 
(Chỉ tiết trong Danh mục từ viết tắt) 
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EEEEễễ:ễ To... 
II- Cáctráchnhiệncôngbó và lưutrữchứng thưsố 
——=—————--___—_ẦD_DẦD_——_——=_——————=".| 


II Luutrữ 
se  CPS 
e_ h(ip://efyca.vn/download/CPS 
e _ Chứng thư số của Root and Sub CA certificates 


se h(íps:/rootca.gov.vn/crt/micnrca.crt (SHAIT) 





se h(íps:/rootca.gov.vn/crt/vnrca256.p7b (SHA256) 





e _h(ip://va.efyca.vn/certs/efyca.crt (SHAT) 
e  h(ip://va.efyca.vn/certs/efyca256.crt (SHA256) 
e _ Chứng thư số của thuê bao 


e LDAP 
“_ h((p://ldap.efyca.vn 





e  Webstle: 
"_ h((ps://efyca.vn/download 
se  CRL 
se h(íps:/rootca.gov.vn/crl/micnrca.crl (CRL RootCA SHAT) 





se h(íps:/rootca.gov.vn/crl/vnrca256.crl (CRL RootCA SHA256) 





se  h(íp://va.efyca.vn/pub/CRL (CRL EFY-CA SHAIT) 





se h(p://va.efyca.vn/pub/CRL256 (CRL EFY-CA SHA256) 
se OCSP 





se h(ip://ocsp.efÍyca.vn/ 





I2 — Côngbốthôngữnchứngthưs 
Các thông tin cần được công bố bao gồm: 
e_ CP/CPS trên toàn hệ thống 
e_ Chứng thư của CA và thuê bao 
e Danh sách chứng thư số bị thu hồi (CRL) 
e Danh sách CA bị thu hồi (ARL) 


Kho lưu trữ chứng thư của EFY-CA sử dụng giao diện web hoặc LDAP, cho phép đối tác tin cậy 
thực hiện các yêu cầu truy vấn trực tuyến về thu hồi chứng thư hay truy vấn thông tin trạng thái 
các chứng thư. 


KEE==—ẼỄễỄễEỆễ—ễEỄễễễễẼEỄẼễẼEẼEẼEE——ễ=Ễễễễễ=5› 
I3  Thòigancôngbốvàbàngaochứngthưsó 
Chứng thư số của thuê bao được công bố tối đa trong 1 giờ sau khi cấp. 
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Tối đa 1 tuần làm việc thuê bao có thể nhận được chứng thư số kế từ khi đăng ký. 


Tối đa 1 ngày làm việc để công bố chứng thư số của thuê bao lên LDAP, website. 


Danh sách thu hồi chứng thư số CRL được cập nhật chu kỳ tối thiểu 1 ngày cập nhật I lần. 





I4 


Quyền truy cập kho lưu trữ chứng thư 

Cập nhật CPS: chỉ EFY-CA mới có quyên cập nhật CPS. 

Đối với thuê bao, không giới hạn truy cập tới CPS, CPS, chứng thư, thông tin chứng thư, 
hay CRLs. EFY-CA yêu cầu người truy nhập phải tuân theo các thỏa thuận với đối tác tin 
cậy hoặc thỏa thuận sử dụng CRLs. Thỏa thuận này như điều kiện để truy cập chứng thư, 
thông tin chứng thư hay CRLs. EFY-CA triển khai các kiểm soát nhằm ngăn chặn việc 
truy cập bất hợp pháp vào kho lưu trữ nhằm thêm, xóa hay sửa đôi các mục trong kho lưu 


trữ. 
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III- Định danh và xác thực 


HH — Đặtêntuêbatrongchúngthưs 
HLII  Kiếucủatên 
Phần sau đây định nghĩa cấu trúc đặt tên theo Quy chế chứng thực. 
e_ Đối với chứng thư số cho cá nhân, thành phần tên chung CN của đối tượng tên phân biệt 
định danh duy nhất thuê bao như sau: 
6 CN= Họ và Tên 
6° C=VN 
© L=vịtrí 
©_ Email = abc@xyz.com 
e_ Đối với chứng thư số cho tô chức, thành phần tên chung CN của đối tượng tên phân biệt 
định danh duy nhất thuê bao như sau: 
o_ CN= Tên tổ chức 
6° C=VN 
© L=vịtrí 
o_ UserID=MST (trong trường hợp khai thuế, bảo hiểm qua mạng) 
©_ Email = abc@xyz.com 
e_ Đối với chứng thư số cho dịch vụ, SSL. mail: 
©œ_ €CN= Domain name 
6° C=VN 
© L=vịtrí 
©_ Email = abc@xyz.com 
e Đối với các chứng thư số khác (codesigning,...) theo quy định của Bộ Thông tin và 
Truyền thông. 


HLI2 Tính duynhất của tên thuê bao 

Tên thuê bao của dịch vụ EFY-CA sẽ là duy nhất với một cấp chứng thư xác định trong miền của 
dịch vụ EFY-CA. Một thuê bao có thê có hai hoặc nhiêu chứng thư có cùng tên. 

HLI3 Nhận đạng, xác thực và vai trò của thương hiệu 

Đối tượng đăng ký chứng thư số không được sử dụng các tên đã được sở hữu và đăng ký bởi tổ 
chức, cá nhân theo quy định của pháp luật. 

Trong trường hợp cần thiết, EFY-CA có thể yêu cầu thuê bao cung cấp bằng chứng, tài liệu 
chứng minh quyên sở hữu đôi với tên đăng ký. 

EFY-CA không chịu trách nhiệm trong mọi tranh chấp về tên của đối tượng đăng ký. EFY-CA 


có quyền chấm dứt hoặc tạm dừng chứng thư số của thuê bao trong trường hợp có tranh chấp xảy 
Ta. 
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HI2 — Xácminhđềnghiápdứngthưếớầnđầu 

HI2I  Xácminh thuê bao cá nhân 

Bộ phận đăng ký RA kiểm tra nhận dạng của người xin cấp chứng thư dựa trên thủ tục để nhận 
dạng của chính phủ, như hộ chiêu, hoặc giây phép lái xe... 

Đề đảm bảo tính bảo mật và tránh các trường hợp giả mạo, thuê bao cần xuất trình các giấy tờ 
sau đây khi xin câp chứng thư sô từ EFY-CA: 


e Hộ chiếu hoặc chứng minh thư nhân dân. 

e Bản sao giấy khai sinh có công chứng. 

e_ Bản sao hộ khẩu hoặc giấy đăng ký tạm trú có chứng nhận của phường, xã... Trong 
trường hợp thay đổi địa điểm cư trú, thuê bao cần thông báo lại chỗ ở mới của mình tại 
cơ quan đăng ký để cập nhật vào cơ sở dữ liệu. 


Các thông tin được xác minh như trên đảm bảo xác thực chính xác định danh của thuê bao, địa 
điểm cư trú để có thể đễ dàng thông báo đến thuê bao trong trường hợp xảy ra sự cố hoặc tranh 
chấp. 


II22 Xác thực danh tính tổ chức, doanh nghiệp 


Đối với tổ chức, doanh nghiệp, EFY-CA sẽ xác minh các thông tin sau: 


e_ Xác định sự tồn tại hợp lệ của một tổ chức bằng cách sử dụng ít nhất một dịch vụ hay cơ 
sở dữ liệu của đối tác thứ ba, hoặc tài liệu xác nhân sự tồn tại của tổ chức được cấp bởi 
cơ quan hợp pháp của chính phủ hay nhà chức trách. Ví dụ giấy phép đăng ký kinh 
doanh. 

e Xác nhận bằng điện thoại, thư tín... các thông tin của tổ chức mà người xin cấp chứng 
thư đưa ra, rằng tổ chức đó đã phê duyệt đơn xin cấp chứng thư. Khi một chứng thư bao 
gồm tên một cá nhân là một đại diện hợp pháp tổ chức, việc cá nhân là đại điện cho một 
tổ chức cũng phải được xác nhận. Khi tên miền hoặc địa chỉ thư điện tử có trong chứng 
thư, tổ chức có toàn quyền sử dụng đối với tên miền hay địa chỉ thư điện tử đó. 


HL23 Những thông tin của thuê bao không được xác thực 
Thông tin của thuê bao không được xác thực gồm có: 


e Các đơn vị, phòng ban thuộc tô chức (Organization Unit) 


e Bất kì một thông tin nào được coi là không cần xác thực trong chứng thư. 





II3  Xácminhđềnghihayđỗïicšpkhóa 

Trước khi chứng thư hết hạn cần phải đăng ký để có được một chứng thư mới nhằm duy trì sự 
liên tục của việc sử dụng chứng thư. Các bộ phận đăng ký RA yêu cầu thuê bao phải xin cấp một 
cặp khóa mới đề thay thế cặp khóa đã hết hạn (gọi là “Re-key”), trong một số trường hợp có thể 


yêu cầu một chứng thư mới thay thế cho một cặp khóa đã tồn tại (gọi là “Renewal”). 


II4.I Quy trình nhận điện và xác thực thủ tục cấp lại khoá (Re-key) 
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Thủ tục thay đổi cặp khóa đảm bảo rằng cá nhân hay một tô chức muốn cấp lại khóa cho chứng 
thư là chủ thuê bao của chứng thư đó. 

Khi thuê bao có yêu cầu tiếp tục sử dụng chứng thư số thì chứng thư mới sẽ được tự động cấp 
phát. Sau khi cấp lại khoá, EFY-CA hoặc bộ phận đăng ký RA sẽ xác nhận lại việc định danh 
của thuê bao sao cho phù hợp với các yêu cầu xác thực và định danh của đơn xin cấp chứng thư 


ban đầu. 
II32 Nhậndiện và xác thực việc cấp lại khoá sau khi đã bị thu hồi (Renewal) 
Các trường hợp không được cấp lại khoá sau khi bị thu hồi. 


e Chứng thư số vi phạm hợp đồng giữa thuê bao với EFY-CA. 

e_ Phát hiện có sự thiếu sót trong việc thấm định các giấy tờ khi đăng ký chứng thư số 
(Chứng minh thư hoặc hộ chiếu giả, hộ khâu không hợp lệ...) 

e Chứng thư bị thu hồi vì đã sử dụng vào các mục đích trái pháp luật... 


Quá trình khôi phục chứng thư của một tổ chức là hoàn toàn có thê được phép, miễn là quá trình 
khôi phục đảm bảo rằng tổ chức yêu cầu khôi phục chứng thư thực sự là khách hàng đã sử dụng 
chứng thư đó, đồng thời lý do khôi phục chứng thư là hợp lệ. Ví dụ: lộ khóa bí mật, mắt thiết bị 
lưu trữ khóa bí mật, lộ khóa của CA... Chứng thư của một tổ chức được khôi phục sẽ chứa cùng 
các thông tin đặc trưng như của chứng thư cũ. 


Việc khôi phục chứng thư của một cá nhân bị thu hồi chứng thư cũng cần đảm bảo răng người 
đang yêu cầu được khôi phục chính là khách hàng đang sử dụng chứng thư đó. 





HI4 — Xácminhđềnghihuhồihứnghướ 
Khi có yêu cầu thu hồi chứng thư số, EEFY-CA phải kiểm tra và xác thực đúng nếu có yêu cầu sự 
huỷ bỏ chứng thư từ thuê bao của dịch vụ EFY-CA. Các thủ tục được dùng gồm: 


e_ Nhận các thông báo từ thuê bao về yêu cầu thu hồi 

e_ Xác minh thuê bao thông báo thu hồi, xác minh sự sở hữu chứng thư số cần thu hồi của 
thuê bao (qua điện thoại, email). 

e_ Thông báo tới thuê bao các lý do chắc chắn về cấp chứng thư mà các nhân hay tô chức 
yêu cầu, trên thực tế việc thông tin với các thuê bao phụ thuộc vào nhiều trường hợp khác 
nhau nhưng có thể là một trong các cách sau: điện thoại, fax, thư điện tử, thư tín hay các 
dịch vụ đưa tin khác. 


Chỉ EFY-CA mới được phép thu hồi chứng thư thuê bao. 
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IV - Các yêu cầu đối với vòng đòi chứng thư số của thuê bao 
IVI  Đonxincpdhứngthư 
IV.ILI Các đối trọng có thểxin cấp chứng thư. 
Những người sau đây có thể đệ trình đơn xin cấp chứng thư số: 
e_ Các thuê bao có nhu cầu xin chứng thư cho mục đích ký số và xác thực trong các giao 
dịch điện tử. 
e _ Đại diện của các tô chức, doanh nghiệp. 
e_ Các đại lý đăng ký làm RA cho EFY-CA. 
Hồ sơ cấp chứng thư số tuân thủ nghị định 130/2018/NĐ-CP: 
se I.Đơn cấp chứng thư số theo mẫu của tổ chức cung cấp dịch vụ chứng thực chữ ký 
sô công cộng (EFY-CA). 
e2. Giấy tờ kèm theo bao gồm: 
a) Đối với cá nhân: Chứng minh nhân dân hoặc căn cước công dân hoặc hộ chiếu 
(Bản sao công chứng hoặc bản sao có xuât trình bản chính đê đôi chiêu) 
b) Đối với tổ chức: Quyết định thành lập hoặc quyết định quy định về chức năng, 
nhiệm vụ, quyên hạn, cơ cấu tổ chức hoặc giấy chứng nhận đăng ký doanh nghiệp 
hoặc giấy chứng nhận đầu tư; chứng minh nhân dân, hoặc căn cước công dân hoặc hộ 


chiếu của người đại diện theo pháp luật của tổ chức. (Bản sao công chứng hoặc bản 
sao có xuất trình bản chính đề đối chiếu) 


IV.12 Tiến trình xử lý và trách nhiệm của thuê bao chứng thư. 
Thuê bao chứng thư sẽ kê khai vào các phần có liên quan bao gồm cả phần đại diện và phần đảm 
bảo và chịu trách nhiệm về quá trình xử lý bao gồm: 
e_ Hoàn thành bảng kê khai, hồ sơ đăng ký cấp chứng thư số và cung cấp các thông tin 
đúng, chính xác. 
e Tự tạo khoá hoặc yêu cầu EFY-CA tạo cặp khoá trên thiết bị PKI Token an toản. 
e_ Cung cấp khoá công khai đến RA, đến trung tâm xử lý và chứng minh sự tương thích 
giữa khoá bí mật và khoá công khai cho trung tâm xử lý. 
IV.IL2.I Chứng thư số của RA 
Người đăng ký chứng thư số cho RA sẽ làm hợp đồng với EFY-CA. RA sẽ cung cấp tài liệu 
chứng tỏ nhận dạng và cung câp các thông tin trong hợp đông trong quá trình ký hợp đông. 
Trong quá trình ký hợp đồng, đầu tiên là nghi lễ sinh khóa tạo ra cặp khóa cho RA, sau đó người 


yêu câu câp chứng thư sô sẽ hợp tác với EEY-CA để xác định tên đặc trưng phù hợp và thông tin 
còn lại trong chứng thư số sẽ được tạo ra. 


IV2  XứWđonxincpchứngthư 
IV..I Chức năng nhậnbiết và xác thực 

Một RA sẽ nhận biết và chứng thực các thông tin khách hàng theo mục III.2 
IV.22 Phê duyệthoặc từ chối các đơn xin cấp chứng thư 


RA sẽ phê chuẩn một chứng thư khi tuân theo các tiêu chuẩn sau đây: 
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e_ Nhận biết và xác thực các thông tin về khách hàng theo mục III.2. 
e Phí dịch vụ đã thanh toán. 


RA sẽ từ chối một chứng thư theo tiêu chí sau đây: 


e_ Nhận biết và xác thực các thông tin về thuê bao không thành công. 

e Thuê bao không cung cấp tài liệu hỗ trợ theo yêu cầu. 

e Thuê bao không trả lời yêu cầu trong thời gian quy định. 

e Phí dịch vụ chưa thanh toán. 

e_ RA có lý do tin rằng việc cung cấp chứng thư cho thuê bao có thê gây bắt lợi cho 

EFY-CA. 

IV.23  Thờigianxử lý các đơnxin cấp chứng thư 
RA có trách nhiệm xử lý các đơn xin cấp chứng thư trong khoảng thời gian phù hợp. Không quy 
định thời gian hoàn thành quá trình xử lý một đơn xin cấp chứng thư trừ khi được đưa ra trong 
hợp đồng với thuê bao, trong CPS hoặc thoả thuận giữa các bên của dịch vụ EFY-CA. Thông 
thường, nếu không có vướng mắc, hệ thống cung cấp dịch vụ EFY-CA có thể khởi tạo một 
chứng thư mới tối đa trong 05 ngày làm việc. 


IV3  Sinhdinghưs 

IV.3.I Các hành động của EFY-CA trong quá trình sinh chứng thư số 

Một chứng thư số được tạo và cấp sau khi EFY-CA chấp nhận một yêu cầu cấp chứng thư số 
hoặc sau khi nhận được một yêu câu câp chứng thư sô của RA. EFY-CA tạo và câp cho người 
yêu cầu cấp chứng thư số một chứng thư số dựa trên những thông tin trong yêu cầu cấp chứng 
thư số sau khi yêu cầu này được chấp nhận. 

IV.32_ Thông báo cho thuê bao khi CA đã tạo xong chứng thư số 

EFY-CA cấp các chứng thư số cho thuê bao sẽ (trực tiếp hoặc gián tiếp thông qua RA) thông báo 
thuê bao EFY đã tạo chứng thư sô qua thư điện tử hoặc tin nhăn và cho phép thuê bao tải chứng 


thư số về từ trang web hoặc qua thư điện tử. 


KEE—=--—.-----ễễẼẽẽễ-- 

IVA — XácnhậnvàCôngbôchứngthư 

IV4I1  Chấpnhận chứngthư 

Thuê bao hoàn thiện xác nhận thông tin chứng thư số là chính xác bằng văn bản hoặc điện tử và 
phản hồi lại cho EFY-CA. 

Khi thuê bao tải về và cài đặt chứng thư từ thông báo của EFY-CA, điều này chứng minh việc 
chấp thuận của thuê bao đó đối với chứng thư số 

Khi thuê bao không trả lời thông báo của EFY-CA trong khoảng thời gian quy định. Chứng thư 
coi như được khách hàng chấp thuận. 

IV42  — Công khai chứng thư của EFY-CA 

Trung tâm xử lý công bố chứng thư số mà họ đã phát hành đồng thời có trách nhiệm đăng thông 


tin về chứng thư mới của thuê bao tới kho lưu trữ LDAP và website của EFY-CA. 
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IV.43_ Thông báo việc phát hành chứng thư đến các đối tượng khác 
EFY-CA có trách nhiệm gửi thông báo cho RA về việc phát hành chứng thư. 





IVS  Cáchsửdụngdqpkhoáyvàchúngthư 

IV.5I Cách sử dụng chứng thư và khoá bí mật của thuê bao 

Việc sử dụng khoá bí mật tương ứng với khoá công khai trong chứng thư chỉ được cho phép khi 
thuê bao đồng ý với bản thoả thuận thuê bao và thuê bao chấp nhận chứng thư. Chứng thư sẽ 
được sử dụng hợp pháp dựa theo bản thoả thuận thuê bao với các điều khoản có trong CP và CPS 
của nhà cung cấp chứng thư. Chứng thư sử dụng phải khớp với quy định tại trường KeyUsage có 
trong chứng thư (ví dụ: KeyUsage quy định chứng thư số chỉ dùng để ký thì không được dùng 
chứng thư số này đề mã dữ liệu). 


Thuê bao có trách nhiệm bảo vệ khoá bí mật khỏi việc truy cập bất hợp pháp và sẽ không được 
sử dụng khoá bí mật khi chứng thư hết hạn hay khi bị thu hồi chứng thư. 


IV.52_ Cáchsử dụng chứng thư và khoá công khai của các đối tác tin cậy 


Các đối tác tin cậy phải đồng ý với các điều khoản trong bản thoả thuận đối tác tin cậy đề tin cậy 
chứng thư. 


Tính tin cậy của chứng thư phải phù hợp với từng hoàn cảnh cụ thể. Nếu hoàn cảnh chỉ ra rằng 
phải cần thêm sự đảm bảo, thì đối tác tin cậy phải đạt được sự bảo đảm cần thiết. 


Trước khi tin cậy, các đối tác tin cậy sẽ đánh giá một cách độc lập: 


e _ Sử dụng chứng thư một cách phù hợp và xác định rằng chứng thư sẽ được sử dụng cho 
mục đích mà nó không bị ngăn cám hoặc bị giới hạn bởi CPS, EFY-CA và các RA không 
có trách nhiệm đánh giá việc sử dụng chứng thư. 

e _ Chứng thư đang sử dụng theo đúng phần mở rộng của trường KeyUsage trong chứng thư. 

e_ Trạng thái của chứng thư và tất cả các CA trong mắt xích chịu trách nhiệm phát hành 
chứng thư phải còn hiệu lực. Nếu bất cứ chứng thư nào trong chuỗi chứng thư bị thu hồi, 
đối tác tin cậy sẽ điều tra xem tính tin cậy của chữ ký số trong chứng thư của thuê bao đề 
việc thu hồi chứng thư là hợp lý. 

e_ Giả thiết rằng việc sử dụng chứng thư là hợp lý, các đối tác tin cậy sẽ sử dụng phần mềm 
thực hiện việc xác thực chữ ký sỐ hoặc các phương pháp khác như một điều kiện để tin 
cậy. Các phương pháp này bao gồm việc định danh một mắt xích chứng thư và xác thực 
các chữ ký số trên tất cả các chứng thư trong chuỗi chứng thư. 

IV6  Giahandứngthướ 


Gia hạn chứng thư số là sự cấp một chứng thư số mới cho thuê bao mà không thay đôi Khóa 
công khai và thông tin khác trong chứng thư SỐ. Gia hạn được hỗ trợ cho chứng thư số khi mà 
cặp khóa được tạo cho phép tạo một yêu cầu cấp chứng thư từ một cặp khóa đã tồn tại. 


IV.6.I Các trường hợp được gia hạn chứng thư số của thuê bao 


e_ Trước khi hết hạn, thuê bao cần phải gia hạn một chứng thư số mới để duy trì sử dụng 
chứng thư sô. 
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e Một chứng thư sỐ cũng có thể được gia hạn sau khi hết hạn. 


Chỉ người đăng ký của một chứng thư số cá nhân hay được ủy quyền đại diện cho tổ chức mới có 
thể gia hạn. 


IV62  Xửlýyêucầugiahạn 


Thủ tục gia hạn đảm bảo rằng cá nhân hay tô chức đang muốn gia hạn một chứng thư số là chủ 
nhân của nó. 


Thuê bao phải được xác minh cá nhân để chứng minh được quyền sở hữu khóa cá nhân (Khóa bí 
mật). Thuê bao chọn và đệ trình với thông tin đã được cung cấp. Sau khi gia hạn một chứng thư 
số, nêu một thuê bao vượt qua được các kiểm tra xác minh và các thông tin này chưa bị thay đôi, 
một chứng thư sỐ gia hạn tự động được tạo ra. 


Ngoài thủ tục này hay các thủ tục duyệt khác, những yêu cầu cho xác thực yêu cầu cấp chứng 
thư sô gôc sẽ được sử dụng đê gia hạn. 


IV.63 Thông báo về sự tạo ra chứng thư số mới cho thuê bao 

Thông báo về sự gia hạn chứng thư số cũng giống như thông báo khi chứng thư số được cấp mới. 
IV.64 Sự chấp nhận,xác nhận chứng thư số gia hạn 

Tương tự như sự chấp nhận, xác nhận chứng thư số được cấp mỚI. 

IV.65 Công bố chứng thưsó được gia hạn 

Chứng thư số được gia hạn sẽ được công bố vào kho dữ liệu để có thể truy xuất. 

IV.66 Thông báo tạo chứng thư số mới cho các thục thể khác 


RA có thể nhận được thông báo nếu các yêu cầu cấp chứng thư số mà nó chấp nhận được CA tạo 
chứng thư sô 


BE “hon E2 SEE-SSRRRESEtnnteae===n===========ŒŒ-------_---i 

IV7  Đổïkhóadhochmgthưs 

Đổi khóa là một quá trình sinh cặp khóa mới thay thế cho cặp khóa cũ đã được cấp chứng thư số 
của thuê bao. Thông tin của thuê bao trên chứng thư số được giữ nguyên trạng, chỉ thay đổi 
thành phần cặp khóa công khai. Đổi khóa được hỗ trợ cho mọi lớp chứng thư số. 


IV7I  Aicóthễểyêu cầu đổi khóa 


Chỉ thuê bao của chứng thư sô cá nhân hay một đại diện được ủy quyên mới có thê yêu câu đôi 
khóa. 


IV.72_ Các trường hợp được yêu cầu thay đối cặp khóa 


e_ Trước khi hết hạn một chứng thư số, thuê bao cần đổi khóa chứng thư số này để tiếp tục 
duy trì giá trị sử dụng của chứng thư sô. 


e Một chứng thư số có thể được đôi khóa sau khi đã hết hạn. 

e_ Hoặc trong trường hợp cần đổi khóa khẩn cấp đối với chứng thư. 
IV.73 Xử lý yêucầu đổi khóa 
Thủ tục đổi khóa đảm bảo rằng cá nhân hay tổ chức đang muốn đổi khóa của một chứng thư số 
là chủ sở hữu của chứng thư sô. 


Thuê bao phải được xác minh cá nhân để chứng minh được quyền sở hữu khóa cá nhân (Khóa bí 
mật). Thuê bao chọn và đệ trình với thông tin đã được cung cấp. Sau khi gia hạn một chứng thư 
số, nêu một thuê bao vượt qua được các kiểm tra xác minh và các thông tin này chưa bị thay đôi, 
một cặp khóa tự động được tạo ra. 
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Ngoài thủ tục này hay các thủ tục duyệt khác, những yêu cầu cho xác thực yêu cầu cấp chứng 
thư sô gôc sẽ được sử dụng đê gia hạn. 

IV.74 Thông báo về sự tạo ra chứng thư số mới cho thuê bao 

Thông báo về sự đổi khóa chứng thư số cũng giống như thông báo khi chứng thư số được cấp 
mỚI. 

IV.75 Sự chấp nhận, xác nhận chứng thư số đối khóa 

Tương tự như sự chấp nhận, xác nhận chứng thư số được cấp mỚI. 

IV.76 Công bố chứng thưsó được đổi khóa 

Chứng thư số được đồi khóa sẽ được công bố vào kho để có thê truy xuất. 

IV.77 Thông báo tạo chứng thư số mới cho các thục thể khác 

RA có thể yêu cầu thông báo về việc tạo chứng thư số mà họ đã duyệt. 


IV§  Thayđổïhứngthưs 
IV.8I Các tình huống thay đổi chứng thư số 


Sự thay đổi chứng thư số nói đến các thủ tục liên quan đến việc tạo một chứng thư số mới để 
thay đổi thông tin trong một chứng thư số đã tồn tại (không chỉ thay đổi Khóa công khai) . 


Sự thay đôi chứng thư số được coi như một yêu cầu cấp chứng thư số mới 
IV.82 Ai cóthếyêu cầu thay đổi chứng thư số 


Chỉ người đăng ký của một chứng thư số cá nhân hay được ủy quyền đại diện cho tô chức mới có 
thể yêu cầu thay đổi chứng thư số. 


IV83  Xửlýyêucầu thay đổi chứng thư số 

Một RA sẽ thực hiện nhận dạng và xác thực mọi thông tin thuê bao. 

IV.84 Thông báo chứng thư số mới cho CA 

Thông báo về sự đổi khóa chứng thư số cũng giống như thông báo khi chứng thư số được cấp 
mỚI. 

IV.85 Thủ tục chấp nhận chứng thư số mới được thay đổi 

Tương tự như sự chấp nhận chứng thư số được cấp mới. 

IV.86 Công bố chứng trsố mới cho CA 

Chứng thư số được đổi khóa sẽ được công bồ vào kho đề có thê truy xuất 

IV.87 Thông báo cho các thục thểkhác 


RA có thể yêu cầu thông báo về việc tạo chứng thư số mà họ đã duyệt. Các thuê bao khác có thể 
tìm chứng thư sô tại kho chứng thư sô được công bô. 





IV9  Thuhằvyàtqmdìmgchúnthượ 
IV.9I  Cácfình huống thuhồi chứng thưsó 


Chỉ trong những trường hợp được liệt kê dưới đây, chứng thư số sẽ bị thu hồi bởi một thuê bao 
hay các đối tượng có thẩm quyền (RA, Admin) và được công bố trên một danh sách chứng thư 
số bị thu hồi (CRL). Nhờ yêu cầu từ một thuê bao, người mà có thể không còn sử dụng chứng 
thư số (hay không muốn sử dụng) với lý do không được liệt kê dưới đây, EFY-CA sẽ đặt cờ cho 
chứng thư số là không hoạt động trong cơ sở đữ liệu nhưng sẽ không công bố chứng thư số lên 
CRL. 
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Một chứng thư số bị thu hồi nếu: 


Một thuê bao, RA, EEY-CA có lý do để tin tưởng hay nghỉ ngờ rằng khóa bí mật của thuê 
bao đã bị làm lộ, bị đánh cắp. 


RA, EFY-CA có lý do tin tưởng rằng thuê bao đã vi phạm một trong các điều khoản nghiêm 
trọng trong các thỏa thuận với EFY-CA và EFY-CA/CPS. 


Thỏa thuận với thuê bao đã kết thúc 
Sự ủy quyên của một tổ chức cho một thuê bao đã kết thúc . 
Một thành viên khác có lý do tin tưởng rằng một yêu cầu cấp chứng thư số thực tế bị sai 


Một thành viên khác xác định rằng một điều kiện tiên quyết thiết yếu đề tạo chứng thư số đã 
không thỏa mãn hay khước từ 


Trong trường hợp chứng thư số của tổ chức, tên thuê bao tô chức bị thay đổi 


Thông tin trong chứng thư số, ngoài những thông tin không được xác minh, không chính xác 
hay đã bị thay đôi. 


Sự tiếp tục sử dụng chứng thư số làm tốn hại tới EFY-CA. 


Khi xem xét việc sử dụng chứng thư số có làm hại đến EFY-CA không, một CA và/hoặc RA sẽ 
xem xét những vân đề khác nữa: 


Nhận được nhiều phản ánh. 
Nhân dạng của những người phản ánh. 
Liên quan chặt chẽ đến luật pháp 
Những phản ứng lại việc sử dụng gây hại từ người dùng được đưa ra mà chưa được chứng 
minh 
IV.92 Ai cóthế yêu cầu thu hồi chứng thư số 


Thuê bao cá nhân có thể yêu cầu thu hồi chứng thư SỐ cá nhân của họ. Trong trường hợp 
chứng thư số của tổ chức, một đại diện được ủy quyền của tô chức sẽ được cho quyên yêu 
cầu thu hồi những chứng thư số được cung cấp cho tổ chức. Một đại diện được ủy quyên của 
EFY-CA, hay một RA sẽ được cho quyền yêu cầu thu hồi một chứng thư số của RA Admin. 


EFY-CA có thể thu hồi chứng thư số trong trường hợp phát hiện thuê bao thực hiện không 
đúng hợp đông, vi phạm luật pháp 


Cơ quan có thâm quyên. 
IV.93 Thủ tụcthuhồi chứng thưsó 
Trước khi thu hồi một chứng thư số, CA kiểm lại xem thu hồi đã được yêu cầu bởi thuê bao hay 
thực thê mà châp nhận yêu câu câp chứng thư sô. Thủ tục xác thực yêu câu thu hôi gôm: 
Thuê bao đệ trình lên các thông tin và xác thực quyền sở hữu khóa đối với chứng thư số bị 
thu hồi cơ sở dữ liệu của EFY-CA. 
Nhận một thông điệp có nội dung từ Thuê bao yêu cầu thu hồi một chữ ký có thể kiêm tra với 
tham chiêu tới chứng thư sô bị thu hôi. 
Đối thoại với thuê bao cung cấp sự đảm bảo hợp lý về lớp chứng thư số mà thuê bao yêu cầu 
thu hôi. Tùy vào tình huông cụ thê, phương tiện đôi thoại có thê là điện thoại, mail... 
CA/RA admin được quyền yêu cầu thu hồi chứng thư số của người dùng cuối trong miền con của 
CA/RA. EEFY-CA sẽ xác thực nhân dạng của Admin qua điêu khiên truy cập sử dụng SSL và xác 
thực client trước khi cho phép thực hiện chức năng thu hôi. 
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RA sử dụng phần mềm tự động có thê đệ trình một gói các yêu cầu thu hồi tới EFY-CA. Mỗi yêu 
câu được xác thực qua một chữ ký với Khóa bí mật trong thiệt bị lưu trữ vật lý của RA. 

IV.94 _ Thời hạn yêu cầu thuhồi chứng thư số 


Yêu cầu thu hồi sẽ được đệ trình ngay lập tức trong một khoảng thời gian hợp lý về phương diện 
thương mại. 


IV.9.5 Giới hạn thời gian xử lý yêu cầu thu hồi chứng thư số của CA 
Chứng thư số bị thu hồi ngay lập tức, sau khi EFY-CA xác thực các thông tin thu hồi. 
IV.9.6 Kiểm tra những yêu cầu thu hồi cho đối tác tin trởng 


Người nhận sẽ kiểm tra trạng thái các chứng thư số mà họ tin tưởng. Một phương pháp mà người 
nhận sử dụng có thê kiểm tra trạng thái chứng thư số là kiểm tra hầu hết các CRL gần đây của 
EFY-CA. Một lựa chọn khác, người nhận có thê khớp những yêu cầu này bằng cách kiểm tra 
trạng thái của chứng thư số sử dụng OCSP (nếu được). 


EFY-CA sẽ cung cấp cho người nhận thông tin làm thế nào đề tìm được CRL, địa chỉ Web, hay 
OCSP responder (nêu có) phù hợp đê kiêm tra trạng thái thu hôi. 


IV.97  TầnsuấttaoCRLmúi 
CRL cho chứng thư sỐ người dùng cuối được cập nhật một ngày một lần. 
IV.98 — GiớihạntrếchoCRL 


CRL được đưa vào kho trong một khoảng thời gian phù hợp sau khi được tạo ra, cần một thời 
gian ngăn đê cập nhật CRL. 

IV.99 _ Kiểm tra trạng thái chứng thư số trực tuyến 

Đường dẫn của OCSP được ghi vào trong chứng thư số do EFY-CA cấp. Khi kiểm tra trạng thái 
chứng thư sô trực tuyên, các bên thứ ba có thê sử dụng đường dân này đê kết nôi tới OCSP kiêm 
tra trạng thái chứng thư sô trực tuyên.. 

IV.9.10 Các yêu cầu kiểmtra trạng thái trực tuyến 

Người nhận phải kiểm tra trạng thái của một chứng thư số mà trên đó anh ây/chị ấy/nó tin tưởng. 
Nếu người nhận không kiểm tra trạng thái của một chứng thư số bằng cách kiểm tra các CRL 


liên quan, người nhận sẽ kiểm tra trạng thái chứng thư số bằng cách kiểm tra OCSP responder 
phù hợp (nếu OCSP có hiệu lực). 


IV.9.I1 Các dạng thông tin trạng thái thu hồi khác 

Không quy định 

IV.9.12_ Nhữngràng buộc đặc biệt liên quan đến việc khóa bị lộ 

Các thuê bao của EFY-CA sẽ được thông báo trong trường hợp khóa Khóa bí mật của CA bị lộ. 

IV.9.13 Các tình huống tạm dừng chứng thư số 
Khóa bí mật tương ứng với chứng thư số bị nghỉ là đã bị lộ, tạm dừng sử dụng chứng thư số 
đề kiểm tra. 
Người sử dụng chứng thư số có nhu cầu không sử dụng trong một thời gian vì một mục đích 
hợp lý. 

IV.9.14 Ai có thể yêu cầu tạm dừng các chứng thư số 
Thuê bao cá nhân có thể yêu cầu thu hồi chứng thư SỐ cá nhân của họ. Trong trường hợp 
chứng thư số của tổ chức, một đại diện được ủy quyền của tô chức sẽ được cho quyên yêu 


cầu thu hồi những chứng thư số được cung cấp cho tổ chức. Một đại điện được ủy quyên của 
EFY-CA, hay một RA sẽ được cho quyền yêu cầu thu hồi một chứng thư số của RA Admin. 
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EFY-CA có thể thu hồi chứng thư số trong trường hợp phát hiện thuê bao thực hiện không 
đúng hợp đông, vi phạm luật pháp 
Cơ quan có thâm quyên. 

IV.915 Thủ tục tạm dùng chứng thưsó 
Người yêu cầu treo chứng thư số thực hiện các thủ tục xác thực nhân dạng với CA/RA 
Người yêu cầu trình bày lý do phù hợp 
Yêu cầu treo chứng thư số được tạo và gửi cho CA 

IV.9.16 Giới hạn xử lý tạm dùng chứng thưsố 

Chứng thư số bị tạm dừng ngay lập tức, sau khi EFY-CA xác thực các thông tin thu hồi. 





IVIU0 Dhvuamgcápkimtrathôngfintrạng hái chứng hưsó 
IVI01  Đặcđiểm 


Trạng thái của chứng thư số được xác định trong CRL thông qua một trang Web, LDAP 
đirectory và qua OCSP responder. 


IV.102  Tínhsẵn sàng của dịch vụ 


Dịch vụ trạng thái chứng thư số được duy trì 24x7 (khi có vấn đề về dịch vụ EFY-CA sẽ thông 
báo kê hoạch xử lý trên website của EFY-CA). 





IVII  Chấmdútdihvuciathuêbao 
Sự kết thúc thuê bao có hiệu lực trong các trường hợp sau: 
Thuê bao đã hết hạn mà không gia hạn 


Thu hôi chứng thư sô xảy ra mà không xin câp một chứng thư sô mới 





IV12 Quảnlýkhóacủamộtbênthứbavàsrphụchồi khóa 
Khóa của thuê bao được lưu trữ an toản và duy nhất trong thiết bị PKI Token hoặc thiết bị an 
ninh phần cứng an toàn do thuê bao quản lý và phục vụ mục đích ký số, xác thực, không phục vụ 
mã hóa bảo mật dữ liệu vì vậy EFY-CA không cung cấp dịch vụ lưu trữ và phục hồi khóa cho 
thuê bao. 

V- 
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V- CÁCKIÊẾMSOÁT THIẾT BJQUÁNLÝ VÀ VẬN HÀNH 


 —===---FŸẼ=ăĂĂĂẳĂÄĂ:' 
VI — Cáckiểmsátanninhvậtý 
V.1.1 Truy cập vật lý 


trắc, 2 n 


Thẻ từ và cùng vào 


@) Thẻ từ và “ 


sinh trắc 


Gác hệ thống 


Bảo vệ gác cổng 





Truy cập tới mỗi tầng an ninh vật lý có thể kiểm tra và giám sát. Vì vậy mỗi tầng có thể truy 
nhập bởi cấp phép riêng. Phòng đặt hệ thống CA, RA của hệ thống chứng thực chữ ký số EFY- 
CA được đặt trong không gian riêng với hệ thống Camera giám sát an ninh 24/7. Quyền ra vào 
nơi đặt thiết bị được kiểm soát bởi hệ thống nhận dạng vân tay và nhân viên bảo vệ. Bản thân 
nhân viên bảo vệ cũng không có quyền truy nhập hệ thống máy chủ CA, RA. Trách nhiệm của 
những nhân viên này là ngăn chặn các truy cập từ bên ngoài ở mức vật lý. Như vậy thiết kế về 
mặt kiểm soát vật lý của hệ thống EFY-CA đáp ứng mô hình 4 lớp về bảo mật truy cập vật lý với 
hệ thống public CA: 


Hệ thống nhân viên an ninh kiểm soát vật lý. 

Hệ thống truy nhập bằng thẻ từ vào/ ra của hệ thống Public CA, có sự hỗ trợ của Camera 
giám sát (TIER 2). 

Hệ thống truy nhập bằng sinh trắc học, Camera giám sát 24/24 tại phòng đặt máy chủ CA/RA 
(TIER 3). Phía sau lớp 3 sẽ có hai điêm truy cập: 

Hệ thống máy chủ CA hoạt động. 

Hệ thống máy chủ back up (off -line). 

Đề thực hiện các thao tác với hệ thống CA (ký lên chứng thư số, cấu hình hệ thống) đòi hỏi 
quản trị viên phải dùng hệ thống smart card theo mô hình M/N (Đòi hỏi ít nhất M quản trị 
viên trong tổng số N người sử dụng smart card của mình đề thực hiện các thao tác quản trị và 


vận hành hệ thống CA). Truy nhập khu vực này đòi hỏi các kiểm tra bảo mật về sinh trắc học 
và hệ thông thẻ từ. 


V.1.2 Điều kiện không khí, nguồn điện, phòng tránh thảm họa. 
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Các thiết bị của EFY-CA trang bị với 2 thành phần là chính và dự phòng. Hệ thống nguồn điện 
cần đảm bảo liên tục, không bị gián đoạn. Các hệ thống nhiệt độ, thông gió, không khí cũng 
được trang bị để điều khiển nhiệt độ và độ âm 

Thiết bị an toàn của EFY-CA được trang bị, bố sung phòng ngừa để ngăn chặn và dập tắt lửa hay 
các thảm hoạ khác có thể gây cháy hay khói. Hệ thống thiết kế phù hợp với tiêu chuẩn phòng 
cháy chữa cháy. 

V.143 Phương tiện lưu trữ 

EFY-CA được bảo vệ trong các đĩa quang, từ sao lưu dữ liệu hệ thống hay thông tin nhậy cảm 
khỏi nước, lửa hay môi trường huỷ hoại và bảo vệ tránh sửa dụng truy cập trái phép hay phá huỷ. 
V.1.4 Dự phòng từ xa 

EFY-CA bảo trì sao lưu hệ thống đữ liệu then chốt hay bất kỳ thông tin nhậy cảm bao gồm dữ 
liệu kiểm định trong dự phòng an toản. 

Hệ thống dự phòng của EFY-CA được đặt tại các trung tâm Data Center khác. Hệ thống này duy 
trì hoạt động thông suốt thông qua việc đồng bộ dữ liệu thường xuyên với hệ thống chính. Hệ 
thống này hoàn toàn là một bản backup đầy đủ của hệ thống chính. Ngay khi xảy ra sự cố, hệ 
thống này sẽ được sử dụng để truy trì hoạt động mà không làm ảnh hưởng đến giao dịch. 

Việc đồng bộ, sao lưu định kỳ ở hệ thống dự phòng diễn ra hoàn toàn tự động dưới sự kiểm soát 
chặt chẽ từ các chuyên gia của EFY-CA. 





V2 Quytnhkểmsát 
V.⁄.I  Cácthànhviên trực thuộc tổ chức. 
Nhân viên, nhà thầu, nhân viên tư vấn đều có thể được xem xét để trở thành người tin cậy. 
Những người được chọn là người tin cậy làm việc tại vị trí tin cậy đáp ứng yêu cầu của CPS. 
Thành viên tin cậy bao gồm tất cả các nhân viên, kỹ sư, tư vấn có sự truy cập tới hay điều khiển 
quá trình xác thực hoặc mã hóa có thể gây ảnh hưởng lớn tới: 
e - Quá trình kiểm tra thông tin trong đơn xin cấp chứng thư số. 
e_ Việc chấp nhận, từ chối hay các xử lý khác của đơn xin cấp chứng thư số, yêu cầu 
thu hồi, yêu cầu cấp mới, hoặc các thông tin đăng ký. 
e_ Ban hành, thu hồi chứng thư của các nhân viên có truy cập tới các thành phần bị 
hạn chế của hệ thống. 


e Những người được tin cậy có thê bao gồm các đối tượng như sau: 


e_ Nhân viên phục vụ khách hàng 
e_ Nhân viên quản trị hệ thống 
e© Kỹ sư thiết kế 


e _ Bộ phận được giao nhiệm vụ quản lý sự tin cậy vê cơ sở hạ tâng. 


V.22 Số lượng thành viên cho mỗi công việc 
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EEY thiết lập, duy trì và có các yêu câu nghiêm ngặt về thủ tục điêu khiên đê đảm bảo sự phân 
công nhiệm vụ dựa trên khả năng làm việc và đảm bảo răng nhiêu người được tin cậy sẽ cùng 
thực hiện các công việc có tính chât nhạy cảm. 


Chính sách và thủ tục được thực hiện đê đảm bảo sự phân công nhiệm vụ dựa trên khả năng làm 
việc. Những công việc mang tính nhạy cảm cao, chẳng hạn truy cập và quản lý hệ thống phần 
cứng mã hoá và các công việc liên quan đên khoá, yêu câu nhiêu người được tin tưởng tham gia. 


Những thủ tục điều khiến ở bên trong được thiết kế để ít nhất hai cá nhân được tin tưởng cùng 
tham gia truy cập tới mức vật lý hoặc mức logic của thiết bị. Truy cập tới phần cứng mã hoá yêu 
cầu chặt chẽ phải có nhiều người được tin tưởng cùng tham gia toàn bộ quá trình làm việc, từ 
việc nhận và kiểm tra cho tới bước cuối cùng là huỷ về logic và/hoặc về vật lý. Mỗi lần, mô đun 
này được kích hoạt trong các thao tác liên quan đến khoá, các truy cập xa hơn nữa sẽ bị thu hồi 
để duy trì việc phân cách giữa điều khiển các truy cập vật lý và mức logic tới thiết bị. Những 
người truy cập vật lý tới các mô đun không giữ “Secret Shares” (những thành phần riêng biệt có 
chứa các thành phần riêng biệt của khoá bí mật hoặc dữ liệu kích hoạt và ngược lại. 


V23 Nhận dạng và xác thực cho từng thành viên 


EFY-CA xác nhận nhận dạng và quyền cho mọi cá nhân trở thành người tin cậy là: 


e Được cấp phép truy cập và cấp truy cập tới các vùng, thiết bị cần thiết. 
e Được cấp các tài liệu điện tử để có thể truy cập và thực hiện một số chức năng trên 
các hệ thống thông tin và hệ thống EFY-CA. 


Việc xác thực nhận dạng bao gồm hoạt động của các cá nhân tin cậy hoặc các chức năng bảo mật 
trong tổ chức và kiểm tra thông tin nhận dạng, ví dụ như hộ chiếu, bằng lái xe. Tổ chức có trách 
nhiệm xác minh tuân theo các thủ tục được đưa ra trong CPS. 


V24 Phân chia trách nhiệm 


Những vai trò yêu cầu phân chia trách nhiệm bao gồm (nhưng không giới hạn): 


e Xác thực thông tin trong đơn xin cấp chứng thư 

e Quá trình chấp nhận, từ chối, hoặc các quá trình khác của đơn xin cấp chứng thư, 
yêu cầu thu hồi, cấp mới hay các thông tin đăng ký. 

e_ Quá trình ban hành, thu hồi các chứng thư, bao gồm những tác nhân được truy cập 
tới những phần hạn chế truy cập của kho lưu trữ. 

e _ Quá trình chuyên giao những thông tin thuê bao hay các yêu cầu từ khách hàng. 

e - Quá trình tạo, ban hành hay tiêu huỷ một chứng thư số. 





V3 Quảnlýnhânsy 
Các thành viên của EFY-CA đều phải sử dụng nhân sự đảm bảo chất lượng và được huấn luyện, 
kiêm tra thường xuyên. Các thông tin nhạy cảm chỉ được phép chia sẻ trong nội bộ EFY-CA. 


EFY-CA ban hành những tài liệu về kiểm soát nhân sự và chính sách bảo mật cho CA và RA. 
Những tài liệu này chứa thông tin bảo mật nhạy cảm và chỉ dành riêng cho bên tham gia dịch vụ 
EFY-CA dưới sự đông ý của EFY-CA. 
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CA và các RA yêu cầu những nhân viên mong muốn được trở thành người được tin cậy chứng 
minh được lai lịch tốt, có năng lực tốt và kinh nghiệm cần thiết đề thực hiện tốt các yêu cầu công 
việc trong tương lai, cũng như việc được tin tưởng, nêu có, cần thiết để thực hiện các dịch vụ về 
chứng thư theo hợp đông quản lý. 

V41 — Quy trìnhkiãmtralailich 

CA và các RA kiểm tra lai lịch các ứng viên trở thành người được tin cậy. Việc kiểm tra lai lịch 
sẽ được lặp lại tôi thiêu Š5 năm một lân . Những thủ tục này tuân theo luật địa phương. Việc mở 
rộng một trong các yêu câu không được trái luật địa phương. 


Những nhân tố phát hiện trong lai lịch là cơ sở để xem xét việc loại trừ những ứng viên khỏi vị 
trí tin cậy như được đề cập trong bản hướng dẫn về yêu cầu kiểm tra và bảo mật của EFY-CA, 
bao gồm bố điểm sau: 


e© Kê khai thông tin không đúng của ứng viên hay người tin cậy. 

e Thông tin tham chiếu của ứng viên không đáng tin cậy. 

e©_ Kiểm tra tiền án tiền sự. 

e _ Có dấu hiệu không tốt về thông tin tài chính, tín dụng. 
Bản báo cáo chứa thông tin đánh giá của bộ phận nhân sự và bộ phận an ninh, bộ phận này sẽ 
thực hiện các hoạt động kiểm tra khách chưa có trong bản kiểm tra lai lịch. Những điều này là 
thước đo đề từ chối ứng viên cho vị trí tin cậy hay loại bỏ người tin cậy. Cách vận dụng thông tin 
đánh giá phải tuân theo luật. 


Điêu tra lai lịch cá nhân của ứng viên người tin cậy bao gôm: 


e© Sự xác nhận của nhân viên tiền nhiệm. 
e© Kiểm tra tham khảo đồng nghiệp. 
e©_ Kiểm tra trình độ ứng viên. 
e Kiểm tra tiền án tiền sự (ở địa phương, thành phó, và quốc gia). 
e Kiểm tra thông tin về tài chính, tín dụng. 
e_ Trung tâm xử lý và dịch vụ của EFY-CA cũng tiến hành điều tra thêm: 
e© _ Kiểm tra giấy phép lái xe 
e Kiểm tra thông tin an ninh xã hội 
V432 — Yêucầuvề đào tạo 
CA và các RA cung cấp cho các cá nhân chương trình đào tạo theo yêu cầu công việc. Những 
chương trình đảo tạo được kiểm tra định kỳ 
Chương trình đào tạo gửi những phần liên quan tới cụ thể nhân viên được đảo tạo, bao gồm: 
e_ Cơ chế và nguyên tắc bảo mật của EFY-CA. 
e_ Các phiên bản phần cứng và phần mềm đang được sử dụng 
e Trách nhiệm cá nhân. 
e_ Báo cáo, chuyển giao các thoả hiệp và các vấn đề liên quan. 


e _ Thủ tục khôi phục sau thảm hoạ và duy trì công việc 
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CA và các RA thường xuyên đảo tạo lại và cập nhật thông tin cho nhân viên của mình với mức 
độ và tân xuât phù hợp đê nhân viên duy trì mức độ tin tưởng và thực hiện tôt công việc của 


` 


mình. 
V433 Kỷ luật đối với các hoạt động không hợp pháp 
CA và RA thiết lập, duy trì và áp đặt các chính sách đối với hành động bất hợp pháp. Các biện 
pháp kỷ luật có thể bao gồm đánh giá, và có thể chấm đứt phụ thuộc vào tần suất và mức độ 
nghiêm trọng của các hành động bất hợp pháp. 
V.34 Yêu cầu đối với các nhà thầu độc lập 
CA và các RA và các nhà thầu hay nhà tư vấn độc lập trở thành người tin cậy, tuân thủ theo các 
điều kiện sau đây: 

e_ Tổ chức sử dụng các nhà thầu hay nhà tư vấn độc lập trở thành người tin cậy nếu tổ 

chức đó không có nhân viên thích hợp đóng vai trò người tin cậy. 

e _ Nhà thầu hoặc nhân viên tư vẫn được tổ chức tin cậy như một nhân viên của mình. 
V.3.5 Cung cấp tài liệu cho nhân viên 
Nhân viên được giao quản lý hệ thống EFY-CA phải được cung cấp các tài liệu sau: 

e Tài liệu Chính sách chứng thư 

e_ Tài liệu Quy chế chứng thực 

e_ EFY-CA - Hướng dẫn thủ tục và điều hành 

e_ Sách giáo khoa - PKI do EFY-CA cung cấp 

e Hướng dẫn cài đặt PKI do EFY-CA cung cấp 





V4  Cácqwytrnhghinhậtkýkiễmtoán 
V.41 Các loại bản phi sự kiện 


Các sự kiện có thê kiểm định phải được ghi lại bởi CA và các RA của EFY-CA. Mọi bản ghi, 
điện tử hay bằng tay, chứa thời gian của sự kiện, và nhận dạng của đơn vị thực hiện. CA đưa ra 
các loại bản ghi sự kiện trong CPS 


Hệ thống PKI có thê ghi lại các sự kiện sau: 

1. Các sự kiện quản lý vòng đời chứng thư người đăng ký và CA, bao gồm: 

a. Tạo khóa, sao lưu, lưu trữ, phục hồi, lưu trữ, và hủy bỏ; 

b. Sự kiện quản lý vòng đời thiết bị mã hóa. 

2. Các sự kiện quản lý vòng đời chứng thư người đăng ký và CA, bao gồm: 

a. Yêu cầu chứng thư, gia hạn và yêu cầu tái khóa và thu hồi; 

b. Tất cả các hoạt động xác minh được quy định trong các Yêu cầu này và Quy chế chứng thực; 


c. Ngày, giờ, sô điện thoại được sử dụng, người nói chuyện và kêt quả cuôi cùng của các cuộc 
điện thoại xác minh; 


d. Phê duyệt và từ chối yêu cầu chứng thư; 
e. Phát hành chứng thư; 
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f. Tạo danh sách Thu hồi Giấy chứng thư và các mục OCSP. 

3. Các sự kiện bảo mật, bao gồm: 

a. Các nỗ lực truy cập hệ thống PKI thành công và không thành công; 
b. Các hoạt động của hệ thống an ninh và PKI được thực hiện; 

c. Thay đổi hồ sơ bảo mật; 

d. Sự có hệ thống, lỗi phần cứng và các bất thường khác; 

e.Các hoạt động của Firewall và router 

f. Vào và ra khỏi cơ sở của CA. 

V42 — Tầnsuấtxửlý phichép 

Các ghi chép được xử lý ( lưu trữ) I tháng 1 lần. 

V43  Thòigianlưutrữnhậtký kiểm toán 

Thời gian lưu trữ 5 năm theo luật pháp Việt Nam. 

V44 — Bảovệnhậtký kim toán 

Tất cả các tệp ghi chép phải được bảo vệ toàn vẹn. 

V.45 Các thủ tục sao lưu nhật ký kiểm toán 

EFY-CA sẽ đảm bảo rằng sao lưu nhật ký kiểm toán phải được bao gồm trong thủ tục sao lưu. 
V.A6 Hệ thống thu thập kiểm toán ( bên trong và bên ngoài) 


EFY-CA sẽ đảm bảo rằng tất cả các sản phẩm thuộc phạm vi của EFY-CA có hệ thống kiểm 
toán nội bộ. Hệ thông kiêm toán ngoài có thê được thực hiện. 


V47 Thông báo tới đối tượng thực hiện sự kiện. 

Không có điều khoản. 

V48 — Đánhgiátínhdễbị tốn thương. 

Quản lý rủi ro được thực hiện 2 năm một lần, bao gồm đánh giá tính dễ bị tôn thương. 


Vã  Luutữhồsơ 
V.5I — Cácloạihồsơ được lưutrữ 


EFY-CA phải đảm bảo rằng các hồ sơ sau được lưu trữ: chứng thư được cấp, các tệp ghi chép, 
các tệp câu hình và khóa cá nhân mã hóa. 


Các mục lưu trữ: 
Chứng thư 
Tệp ghi chép 
Thông tin cấu hình- Tệp cấu hình 
Khóa cá nhân mã hóa 
V2 Thời gian lưu trữ 
Ít nhất 5 năm theo luật Việt Nam. 


V.53 Bảo vệ lưu trữ 
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Lưu trữ phải được thực hiện trên phương tiện truyền thông chỉ ghi một lần. Kho lưu trữ ở mức 
tôi thiêu bao gôm: 

‹ Các tệp ghi chép kiểm toán cho khoảng thời gian lưu trữ 

- Chứng thư được cấp cho khoảng thời gian lưu trữ 


Một khi lưu trữ được thực hiện, một hàm băm SHA-256 của kho lưu trữ được thực hiện. Việc 
này phải được ghi lại đê đảm bảo bảo vệ toàn vẹn. 


Kho lưu trữ được vận chuyền qua các phương tiện an toàn tới trang web dự phòng và được lưu 
trữ dưới sự kiêm soát truy cập thích hợp đê đảm bảo tính bảo mật. 


V.54 Các thủ tục sao lưu lưu trữ 


Các thủ tục sao lưu lưu trữ phải bao gồm: viết trên phương tiện truyền thông chỉ ghi một lần, tính 
giá trị băm, vận chuyên an toàn đên một vị trí an toàn. 


Sao lưu lưu trữ bao gồm các mục sau: 
Hệ thống tỆp — Tất cả các hệ thống tệp được lưu trữ I lần/ tuần 


Tệp nhật ký - Các tệp nhật ký được gửi đến một tệp tin syslog ngoại trừ tệp nhật ký được ghi 
chép vào cơ sở dữ liệu. Các mục đăng nhập này là 


Cơ sở dữ liệu — Sao lưu cơ sở đữ liệu được thực hiện 
V.ã55 Các yêu cầu cấp dấu thời gian của hồ sơ 
Không áp dụng 
V.56 Hệ thống lưu trữ (bên trong hoặc bên ngoài) 
EFY-CA sẽ sử dụng hệ thống lưu trữ bên ngoài thông qua hệ thống lưu trữ riêng. 
V.S7 Các thủ tục thu thập và xác minh thông tỉn lưu trữ 
EFY-CA sẽ đảm bảo rằng thông tin lưu trữ có thê xác minh. Tối thiểu, giá trị hàm băm và cấp 
dâu giá trị có thê được xác minh. 
V6 — Thayđổikhóa 
Chứng thư số của EFY-CA có thể được Bộ Thông tin và Truyền thông gia hạn, cấp mới với điều 
kiện thời gian hiệu lực còn lại của chứng thư sô EFY-CA lớn hơn thời gian hiệu lực của chứng 
thư sô câp cho thuê bao là 90 ngày. 


Quy trình và thủ tục thay đồi cặp khóa được tuân theo nội dung nghị định 130/2018/NĐ-CP. 





V7 Thoảthuậnvàkhôiphụcauthimhọa 

V.7I Các thủ tục xửlý vấn đề lộ khoá và sự có 

Các bản sao lưu dự phòng các thông tin của CA được lưu trữ trong phương tiện từ xa và được 
đảm bảo tính sẵn sàng khi xảy ra thảm họa hay có sự phá hoại: các dữ liệu về đơn xin cấp chứng 
thư số, đữ liệu kiểm toán, các cơ sở đữ liệu cho các chứng thư đã ban hành. Trung tâm xử lý sẽ 
duy trì các bản sao lưu dự phòng của các thông tin CA của họ, cũng như các CA của các khách 


hàng doanh nghiệp năm trong miên con. 


V.7.2 Hành vi tiêu cực đối với tài nguyên máy tính, phần mềm và dữ liệu 
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Trong trường hợp tài nguyên, phần mềm và các dữ liệu được sử dụng với mục đích nguy hiểm, 
báo cáo về sự cố và trả lời cho sự có đó sẽ được CA và RA thực hiện ngay lập tức tuân theo các 
thủ tục của EFY-CA được nêu trong tài liệu này. 

V.73 Lộ khoá bí mật của CA 

Trong trường hợp lộ khoá bí mật của CA, CA sẽ bị thu hồi chứng thư. Trung tâm xử lý sẽ áp 
dụng các biện pháp thương mại hợp lý để lưu ý các đối tác tin cậy nếu họ phát hiện ra hoặc có lý 
do để tin rằng khoá bí mật của CA bị lộ trong miền con của EFY-CA. 

V.74 Khả năng duy trì liên tục hệ thống sau thảm hoạ 

EFY-CA tiến hành bảo mật cho các hoạt động phát triển, kiểm tra, bảo trì của CA và RA. EFY- 
CA sẽ triển khai kế hoạch khôi phục sau thảm hoạ. Kế hoạch khôi phục sau thảm hoạ. Kế hoạch 
khôi phục sau thảm hoạ đặt ra tập trung vào việc khôi phục hệ thống thông tin và các chức năng 
thương mại quan trọng. Khu vực khôi phục sau thảm hoạ sẽ có bảo vệ vật lý được EFY-CA chỉ 
TỐ. 

Trung tâm xử lý có khả năng hồi phục hay khôi phục đữ liệu trong khoảng 72 giờ sau khi một 


thảm hoạ xảy ra. Trung tâm sẽ hỗ trợ tôi thiểu các chức năng sau: 


e Ban hành chứng thư. 

e Thu hôi chứng thư. 

e_ Công khai các thông tin thu hồi. 

e Cung cấp các thông tin khôi phục khoá cho khách hàng doanh nghiệp sử dụng hạ 
tầng quản lý PKI. 


Cơ sở dữ liệu khôi phục thảm hoạ của Trung tâm xử lý được đồng bộ hoá thường xuyên với cơ 
sở dữ liệu chính trong một khoảng thời gian giới hạn theo Chỉ dẫn về yêu cầu an ninh và kiểm 
toán (Securiíy and Audit Requirements Guide). Các thiết bị để khôi phục sau thảm hoạ của 
Trung tâm xử lý sẽ được bảo vệ vật lý tương ứng với mức an ninh vật lý được đề cập đến trong 
chính sách bảo mật của EFY-CA. 


Trung tâm dịch vụ có chức năng công bố thảm hoạ tên website, thông báo trực tiếp tới khách 


hàng, đôi tác tin cậy và những người quan tâm. 


Kế hoạch khôi phục sau thảm hoạ của Trung tâm dịch vụ và trung tâm xử lý được thiết kế để tạo 
ra khả năng khôi phục hoàn toàn trong khoảng một tuần từ khi thảm hoạ xảy ra tại khu vực chính 
của Trung tâm dịch vụ và Trung tâm xử lý được thiết kế đề tạo ra khả năng khôi phục hoàn toàn 
trong khoảng một tuần từ khi thảm hoạ xảy ra tại khu vực chính của Trung tâm dịch vụ và Trung 
tâm xử lý. Trung tâm dịch vụ và Trung tâm xử lý cài đặt và kiểm tra các thiết bị của họ tại khu 
vực chính đề hỗ trợ chứng năng CA/RA theo mọi tình huống ngoại trừ một thảm hoạ lớn có thể 
làm cho toàn bộ hệ thống không thể hoạt động được. Như vậy thiết bị đó phải được dự phòng và 
có khả năng chịu đựng hỏng hóc. 





V8  Dùnghoạtđộng 
V.81 Kết thúc sự hoạt động của CA hay RA 
V.8.1.1 Chấm đứt CA 
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CA có thể bị chấm dứt vì bất kỳ lý do nào nhưng quyết định phải được Bộ Thông tin và Truyền 
thông phê duyệt. Trong trường hợp chấm dứt hoạt động của CA vì bất kỳ lý do nào, EFY-CA 
phải thông báo kịp thời và chuyền giao trách nhiệm cho các đơn vị kế tiếp, duy trì các hồ sơ, và 
các biện pháp khắc phục. Trước khi chấm dứt các hoạt động CA của mình, EFY-CA sẽ có thể 
thực hiện theo các bước sau 


« - Cung cấp cho người đăng ký chứng thư hợp lệ với thông báo chín mươi (90) ngày về ý 
định chấm dứt hoạt động như một CA 

e - Thu hồi tất cả các chứng chỉ vẫn chưa bị thu hồi hoặc chưa hết hạn vảo cuối thời hạn chín 
mươi (90) ngày, 

« _ Thông báo thời gian mà không cần sự cho phép của người đăng ký. 

« _ Thông báo kịp thời về việc hủy bỏ đối với mỗi người đăng ký bị ảnh hưởng. 

e - Sắp xếp hợp lý để giữ hồ sơ theo CP /CPS này. 

« _ Bảo lưu quyên cung cấp sự sắp xếp kế tiếp cho việc tái cấp chứng thư bởi một người kế 
nhiệm CA có tất cả các quyền liên quan để làm việc và tuân thủ tất cả các quy tắc cần 
thiết, trong khi hoạt động của nó ít nhất phải an toàn như các CA công cộng khác. 


Các yêu cầu có thê thay đôi theo hợp đồng, những sửa đổi đó chỉ ảnh hưởng đến các bên ký kết hợp 
đồng. 
V.8.12 Chấm đút RA 
Cơ quan đăng ký có thể bị chấm dứt vì bất kì lý do nào. Mọi quyết định được phê duyệt bởi 
EFY-CA. Trong trường hợp châm dứt RA vì bât kỳ lý do nào, EFY-CA phải thông báo kịp thời 
và chuyên giao trách nhiệm cho đơn vị kê tiệp, duy trì hỗ sơ và các biện pháp khác phục. Trước 
khi châm dứt các hoạt động của RA. EFY-CA có thê thực hiện các bước sau: 
e Cung cấp cho thuê bao do RA quản lý thông báo chín mươi (90) ngày về ý định chấm dứt 
hoạt động như một RA. 
e_ Cung cấp giải pháp thay thế cho các thuê bao, tổ chức, cá nhân, doanh nghiệp thuộc RA 
quản lý. 
e Dừng chấp nhận yêu cầu chứng thư ba mươi (30) ngày sau khi ban hành thông báo chấm 
dứt. 
e - Sắp xếp hợp lý để bảo quản hồ sơ theo đúng tài liệu này. 


Các yêu cầu có thể thay đối theo hợp đồng, những sửa đổi đó chỉ ảnh hưởng đến các bên ký kết hợp 
đồng. 
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VI- VÁNĐÈAN TOÀN,ANNINHKỸ THUẬT 

=5 

VII  Sinhkhóavàciđặt 

VLII  Anninh sinh cặp khóa cho EEY-+CA 
Đối với khóa của nhà cung cấp dịch vụ (EFY-CA), các cặp khóa của các thành phần như CA, 
RA sẽ được sinh trực tiêp tại các thiệt bị HSM chuyên dụng. Việc bảo vệ khóa bí mật của CA 
trong các thiệt bị phân cứng chuyên dụng sẽ giúp giảm thiêu nguy cơ lộ khóa bí mật (kẻ tân 
công có thê sử dụng khóa bí mật của CA đê làm giả các chứng thư sô trong toàn bộ hệ 
thông). Hệ thông EFY-CA hoàn toàn tương thích với những nhà cung câp HSM hàng đâu thê 
giới hiện tại như Utimaco, AEP, Luna SA, nCipher, Thales... 

VLI2  Anninh sinh cặp khóa cho thuê bao 
Thuê bao tự sinh khóa trên thiết bị PKI Token an toàn hoặc thiết bị HSM, thuộc sự quản lý 
của thuê bao và thông báo đên EFY-CA quá trình sinh khóa trên thiệt bị PKTI Token. 
EFY-RA hoặc các đại lý RA của EFY-CA hỗ trợ thuê bao sinh khóa trên thiết bị PKI Token 
an toàn hoặc thiêt bị HSM. 
EFY-CA sinh khóa cho thuê bao trên thiết bị PKI Token an toàn và chuyên cho thuê bao. 
EFY-CA không lưu trữ bất kỳ khóa bí mật (Khóa bí mật) nào của thuê bao 

VLI3 Gửi Khóa bí mật cho thuê bao 
Trong trường hợp EFY-CA, EFY-RA, RA sinh khóa cho thuê bao trên thiết bị PKI Token, 


thiết bị sẽ được gửi tới thuê bao theo lo, vật lý. Mã PIN của thiết bị được chuyển tới thuê 
bao theo đường thư điện tử, thư giấy.. 


Sau khi nhận được thiết bị PKI Token, thuê bao phải đổi mã PIN của thiết bị. 
VLI4 Gửi Khóa công khai cho EEFY-CA 


Khi một khóa công khai được truyền tới EFY-CA để thực hiện chứng thực, nó sẽ được gửi qua 
một cơ chế đảm bảo rằng Khóa công khai này không bị thay thế trong quá trình vận chuyền và 
người yêu cầu cấp chứng thư sô sở hữu Khóa bí mật tương ứng. Cơ chế được sử dụng để gửi 
khóa công khai là một gói chứng thư số được ký PKCS#10 hay phương pháp tương đương. Đảm 
bảo răng: 


e Khóa công khai không bị thay thế, sửa đôi trên đường truyền 
e Yêu cầu cấp chứng thư số sở hữu Khóa bí mật tương ứng 


Trung tâm xử lý thực hiện quá trình sinh khóa, truyền Khóa công khai từ module mã hóa nơi nó 
được tạo ra tới module mã hóa của CA câp trên, băng cách đóng gói nó trong một gói chứng thư 
sô được ký PKCS#10. 


Trong trường hợp sinh chứng thư số cho EFY-CA, cặp khóa EFY-CA được sinh trên HSM và 
gửi yêu câu đăng ký chứng thư số của EFY-CA định dạng PKCS#10 lên RootCA Quốc gia để 
xin câp chứng thư sô cho EFY-CA. 


VLI5 Gửi Khóa công khai của CA cho người nhận 


Chứng thư số khóa công khai của EFY-CA và RootCA quốc gia được công bố công khai trên 
website của EFY-CA và RootCA quôc gia. 


Các chứng thư số khóa công khai của người dùng được công bồ trên kho lưu trữ chứng thư số 
của EFY-CA, người dùng có thê tải về đê sử dụng, không cân cơ chê phân phôi đặc biệt. 


VLI6 — Độ dài của khóa 
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Cặp khóa có độ dài đủ để chống lại việc sử dụng tấn công mã để xác định Khóa bí mật trong suốt 
thời gian sử dụng cặp khóa. EFY-CA hiện tại sử dụng cặp khóa có độ dài nhỏ nhât tương đương 
với 2048 bịt trong RSA cho CA. 

EFY-CA chỉ chấp nhận cặp khóa có độ dài tối thiểu tương đương 2048 bit RSA cho các chứng 
thư sô. 

VIL1/7 Cácthamsósinh Khóa công khai và kiểm tra chất lượng 


Thành viên EFY-CA sử dụng chữ ký số chuẩn sẽ sinh ra các tham số khóa được yêu cầu tương 
ứng với FIPS 140-2 level 3 hoặc chuẩn tương đương được quy định tại Thông tư số 06/2015/TT- 
BTTT. Khi thành viên EFY-CA sử dụng chữ ký số chuẩn, chất lượng của những tham số khóa sẽ 
được kiểm tra theo FIPS 140-2 level 3 hoặc chuẩn tương đương được quy định tại Thông tư số 
06/2015/TT-BT TT. 


VI18 Đa kiểmsoátkhoá bímật(m outofn) 


Cơ chế này sử dụng để bảo đảm an toàn cho khóa bí mật của EFY-CA lưu trữ trong thiết bị 
HSM. 


Đa kiểm soát được áp dụng để bảo vệ dữ liệu kích hoạt cho khoá bí mật CA được lưu trữ tại 
trung tâm xử lý tuân theo các chuẩn trong chính sách bảo mật của EFY-CA. Trung tâm xử lý sử 
dụng “Secret Sharing” để chìa khoá bí mật hoặc dữ liệu kích hoạt cần thiết thành các phần riêng 
biệt gọi là “Secret Shares”. Các thành phần này được giữ bởi các “Shareholders”. Chỉ có m trong 
tổng số n “Secret Shares” được yêu cầu để vận hành khoá bí mật. 


Trung tâm xử lý sử dụng Secret Sharing để bảo vệ dữ liệu kích hoạt và các CA khác trong các 
miền con tương ứng tuân theo các chuẩn trong chính sách bảo mật của EFY-CA. Trung tâm xử 
lý cũng sử dụng Secret Sharing để bảo vệ khoá bí mật tại từng khu vực khôi phục sau thảm hoa. 


VLI.9 Sao lưu dự phòng khoá bí mật 

CA tạo các bản lưu dự phòng khoá bí mật cho mục đích khôi phục sự cố hay khôi phục sau thảm 
hoạ phù hợp với chuẩn trong chính sách bảo mật của EFY-CA. Các bản sao lưu dự phòng phải 
phù hợp với các chính sách được nêu trong Quy chế chứng thực. Các bản sao lưu dự phòng 
được tạo ra bằng cách sao chép các khoá bí mật và đưa chúng vào các mô đun mã hoá dự phòng 
(thường là các thẻ thông minh được chia sẻ và bảo mật). 


Khóa bí mật được dự phòng là để được bảo vệ các sửa đôi bất hợp pháp hoặc bị tiết lộ thông qua 
phương tiện mã hoá hoặc phương tiện vật lý. Các bản sao lưu dự phòng được bảo vệ vật lý và mã 
hoá ngang bằng hoặc tốt hơn so với các mô đun mã hoá nằm trong khu vực CA, như tại khu vực 
khôi phục sau thảm hoạ hoặc tại khu vực bên ngoài khác, ví dụ như ngân hàng. 

VLI.0 Lưu trữkhoá bímật 
Khi một chứng thư của EFY-CA. hết hạn, những cặp khóa gắn với chứng thư ấy sẽ đảm bảo được 
lưu trữ trong khoảng thời gian ít nhất là 5 năm trong các mô đun phần cứng có cơ chế mã hoá 
đáp ứng được các yêu cầu của CPS. Những cập khoá CA này sẽ không được sử dụng trong bất 
kỳ chữ ký nào sau khi hết hạn sử dụng trừ khi các chứng thư CA này được khôi phục trong các 
trường hợp cần thiết. 


VII.II Cách thức khoá bí mật được chuyển đến hoặc đi từ một mô đun mã hoá 
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Khóa bí mật chuyên đên mô đun mã hoá sẽ sử dụng các cơ chê đê ngăn chặn sự mất, ăn trộm, 


sửa đôi, tiết lộ và sử dụng trái phép khoá bí mật này. 


Trung tâm xử lý cấp phát các khoá bí mật của CA hoặc RA trên mô đun mã hoá phần cứng và 
chuyên giao chúng vào mô đun mã hoá phần cứng khác để ngăn chặn sự mất mát, ăn trộm, sửa 
đổi, tiết lộ sử dụng trái phép khoá bí mật. Việc chuyển g1ao này sẽ bị giới hạn đỀ tạo ra các bản 
sao dự phòng khoá bí mật trên thẻ cứng phù hợp với tài liệu chuẩn trong chính sách bảo mật của 
EFY-CA. Các khoá bí mật sẽ được mã hoá trong suốt quá trình truyền. 


Những người tham gia dịch vụ EFY-CA có sẵn các khoá bí mật và chuyển chúng vào trong thẻ 
cứng, ví dụ: kiểm soát khoá bí mật đã được cấp phát của thuê bao cuối vào thẻ thông minh. 
VLI1.12 Cách thức lưu trữ khoá bí mật trên mô đun mã hoá 


Các khoá bí mật của CA hoặc RA được lưu trữ trên các mô đun mã hoá dưới dạng mật mã. 


VII.I3 Sử dụng khoá bí mật đối với thuê bao 
Thuê bao có nghĩa vụ bảo vệ khoá bí mật của mình. Phải đảm bảo khóa bí mật được lưu trữ trong 
các thiết PKI Token an toản, không được đọc, sao chép ra ngoài. 


VLI.14  Huỷ khóa bímật 

Khi được yêu cầu, các khoá bí mật của CA sẽ bị huỷ diệt để đảm bảo các khoá đó sẽ không được 
khôi phục trong bât kỳ trường hợp nào. Quá trình này tuân theo tài liệu chuân trong chính sách 
bảo mật riêng của EFY-CA 

VI2  Dữlậukehhoạt 

VI21 Quá trình tạo và cài đặt dữ liệu kích hoạt 

EFY-CA tạo và cài đặt dữ liệu kích hoạt (Activation Data) cho khoá bí mật sử dụng những 
phương pháp để bảo vệ đữ liệu kích hoạt đối với các phạm vi cần thiết nhằm tránh sự mất mát, 
sự ăn cắp, sự cải biến, sự tiết lộ trái phép, hoặc sử dụng trái phép các khoá bí mật. 


Đối với phạm vi mật khẩu được sử dụng cho đữ liệu kích hoạt, những người đăng ký sẽ thiết lập 
mật khâu, những mật khâu này không dễ dàng bị đoán nhận hoặc bị tấn công bởi kiểu tấn công 
từ điển. 

VI22 — Bảovệdữliệu kích hoạt 

EFY-CA sẽ bảo vệ dữ liệu kích hoạt cho những khoá bí mật của họ bằng các phương pháp nhằm 
để tránh sự mất mát, sự ăn cắp, sự cải biến, sự tiết lộ trái phép, hoặc sử dụng trái phép các khoá 
bí mật. 

Thuê bao đầu cuối sẽ bảo vệ dữ liệu kích hoạt cho những khoá bí mật trong bất cứ trường hợp 
nào, đối với phạm vi cần thiết nhằm tránh sự mất mát, sự ăn cắp, sự cải biến, sự tiết lộ trái phép, 


hoặc sử dụng trái phép các khoá bí mật. 


Trung tâm xử lý sử dụng Secrer Sharing tuân theo Quy chế chứng thực và những chính sách bảo 
mật của dịch vụ EFY-CA. Trung tâm xử lý cung cấp các thủ tục và các giá trị cho phép 
Shareholders có những đề phòng cần thiết để tránh sự mất mát, sự ăn cắp, sự cải biến, sự tiết lộ 
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trái phép hoặc sử dụng trái phép Secref Shares, những cái mà họ sở hữu. Shareholders sẽ không 


làm những viỆc sau: 


e©_ Sao lưu, tiết lộ, hoặc làm cho hãng thứ 3 biết được Secret Share, hoặc sử dụng bất 
hợp pháp Secret Share đó, hoặc 
e_ Tiết lộ trạng thái cá nhân như là Shareholder đến bên thứ 3. 


Secret Share và bất cứ thông tin bị tiết lộ đến Shareholder được sắn liền với trách nhiệm cá nhân 
như một Shareholder thiết lập các thông tin bí mật hoặc các thông tin riêng. 


Trung tâm xử lý có kế hoạch khôi phục thảm hoạ nhằm đảm bảo Secre Share luôn sẵn sàng tại 
vị trí khôi phục thảm hoạ sau khi thảm họa xảy ra. Mỗi trung tâm xử lý duy trì dấu vết kiểm định 
của Secret Share và Secrete Holders sẽ tham gia vào quá trình duy trì các kiểm định đó. 


VI243  Cácvấn đềkhác của dữliệu kích hoạt 
VI2.3.1 Vấn đề chuyển tải dữ liệu kích hoạt 


Đề chuyển giao các dữ liệu kích hoạt cho các khoá bí mật, các thành viên thuộc dịch vụ EFY-CA 
sẽ sử dụng các biện pháp chống lại các nguy cơ mắt mát, bị đánh cắp, bị sửa đổi, bị tiết lộ hoặc 
bị sử dụng trái phép đối với các khóa riêng. Trong phạm vi môi trường Windows và đăng nhập 
mạng thì sự kết hợp tên sử dụng/mật khẩu (username/password) sẽ được sử dụng như là dữ liệu 
kích hoạt cho thuê bao cuối, mật khẩu được truyền đi trên mạng sẽ được bảo vệ khỏi sự truy cập 
của những thuê bao không được phép. 


VI2.3.2  Huỷ dữ liệu kích hoạt 


Dữ liệu kích hoạt khóa bí mật của CA sẽ bị vô hiệu hoá bằng cách sử dụng biện pháp nhằm 
chống lại nguy cơ mất mát, bị đánh cắp, bị sửa đổi, bị tiết lộ hoặc bị sử dụng trái phép đối với 
các khoá bí mật mà dữ liệu kích hoạt đó bảo vệ. Sau khi hết thời gian lưu trữ, dịch vụ EFY-CA 
sẽ vô hiệu hoá dữ liệu kích hoạt bằng cách ghi đè hoặc tiến hành huỷ vật lý. 

VI3  Kimsátbảomậtmáyfnh 

Dịch vụ EFY-CA thực hiện tất cả các chức năng của CA và RA trên các hệ thống đáng tin cậy 
đáp ứng được các yêu cầu về bảo mật của dịch vụ EFY-CA. Các thuê bao tổ chức phải sử dụng 
hệ thống đáng tin cậy. 


Trung tâm xử lý phải đảm bảo chắc chắn rằng các hệ thống chứa phần mềm CA và các tệp dữ 
liệu là hệ thống đáng tin cậy chống lại các truy cập trái phép, điều này có thê được giải thích theo 
yêu cầu và tiêu chuẩn kiểm định trong mục 4.5.1. Thêm vào đó, trung tâm xử lý cũng giới hạn 
tối đa các truy cập đến máy chủ chính với những lý do quyền hạn để truy cập. Thuê bao thông 
thường sẽ không có tài khoản trên máy chủ chính. 


Trung tâm xử lý sẽ tạo ra các mạng tách biệt về mặt logic với những mạng khác. Sự tách biệt này 
nhằm ngăn chặn truy cập mạng trái phép, ngoại trừ các tiến hành ứng dụng đã được định nghĩa. 
Trung tâm xử lý sẽ sử dụng tường lửa để bảo vệ hệ thống mạng trước nguy cơ xâm nhập từ bên 
trong lẫn bên ngoài. Trung tâm xử lý sẽ yêu cầu sử dụng mật khẩu có đội dài tối thiểu và kết hợp 
giữa chữ cái với các ký tự đặc biệt, và yêu cầu mật khâu phải được thay đổi trong một khoảng 
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thời gian nhất định và khi cần thiết. Việc truy cập trực tiếp dữ liệu của trung tâm xử lý được duy 


trì trong vùng nhớ của trung tâm xử lý sẽ bị giới hạn đối với những người được tin tưởng trong 


nhóm hoạt động của trung tâm xử lý có những lý do hợp lệ để truy cập 


VI4 


Anninh mạng 


Việc thiết kế an toàn chung cho hệ thống, EFY-CA dựa trên các tiêu chuẩn an toàn như ISO 
27001 đề thiết kê, có các mục sau: 


Chính sách an ninh mạng. 

Tường lửa Firewall: gồm Firewall Internet GW, Internal FW. 

Hệ thống phát hiện và chống thâm nhập mạng IPS/IPS Network Sensor 

Hệ thống phát hiện và chống thâm nhập các máy chủ ứng dụng IPS Host sensor. 


Hệ thống phòng chống Antivirus nhiều điểm: Internet Gateway, Mail server, spam mail, 
Client/server, quản lý tập trung. 


Hệ thống cập nhật bản vá cho máy chủ/máy trạm. 

Hệ thống quản trị an ninh : thành phần quản lý và giám sát an ninh tập trung, các thành 
phân dò tìm các lô hông, thành phân thiệt lập chính sách an ninh mạng, thành phân phân 
tích an ninh và báo cáo, thành phân cập nhật các bản vá, thành phân quản lý và phân tích 
băng thông của mạng. 


Dựa vào các thành phần này, hệ thống an ninh mạng của EFY-CA được xây dựng để đảm bảo 
các yêu câu: 


An toàn và tin cậy 

Ngăn chặn các tấn công trong và ngoài mạng hiệu quả. 

Chính sách an ninh mạng thống nhất chặt chẽ. 

Tính sẵn sảng cao của hệ thống 09 .990% 

Dễ dàng bồ sung thêm các thành phần (module) và nâng cấp. 

Không làm giảm và ảnh hưởng đến hiệu suất (Performance) của toàn mạng. 
Dễ dàng cô lập những điểm bị tắn công và tốn thương. 

Quản lý tập trung, tạo các báo cáo an ninh đễ hiểu tường minh và chính xác. 
Khả năng mở rộng: 

Dễ dàng mở rộng và bồ sung các thiết bị Firewall. 

Dễ dàng mở rộng và bồ sung các thiết bị chống thâm nhập trái phép trên mạng IPS. 


Dễ dàng bổ sung các Module khác khi mạng lưới phát triển. 


Tính bảo mật: Mạng có tính bảo mật cao, có nhiều biện pháp phòng chống sự truy nhập bất 
hợp pháp vào mạng. Mạng phải chông lại được các hiện tượng lây cắp hay thay đôi thông tin. 


Đảm bảo khả năng phòng thủ theo chiều sâu, nhiều lớp. 
Tích hợp đa công nghệ: FW, IPS, AV, Content Filtering, Patch Management, AAA,..... 


Tiếp cận mạng tự phòng vệ. 


Trang 36/51 


EFY-CA — Quy chế chứng thực 


An toàn dữ liệu: An toàn dữ liệu là một yêu cầu quan trọng đối với một mạng cung cấp dịch 
vụ như EFY-CA, nó phải đảm bảo dữ liệu cung cấp phải được bảo vệ tránh mất mát, hư hỏng 
đữ liệu. 

Tính tương thích: Mạng cần có tính tương thích cao, cho phép chạy được những phần mềm 
thông dụng, cho phép nôi ghép với các mạng khác trong hệ thống cũng như nối ra quốc tế khi 
có nhu câu. 


Tính mềm dẻo: Cho phép dễ dàng thay đổi kiến trúc, vị trí đặt máy của mạng. Cho phép 
thay đổi được các phần mềm ứng dụng cũng như phần mềm hệ thống cho mạng cũng như 
cho từng trạm làm viỆc. 


Bảo mật phân cầp nhiêu mức: Mạng phải đảm bảo thiệt lập an ninh ở nhiêu mức khác nhau 
như sau: 


e Bảo mật mức mạng : thiết bị kết nối mạng, thiết bị mã hóa, thiết bị tối ưu băng thông, cân 
bằng tải, ..... 


e Bảo mật truy cập: Firewall, IDS/IPS,... 
e_ Bảo mật mức thiết bị. 

e Bảo mật mức máy chủ. 

e_ Bảo mật mức hệ điều hành. 

e Bảo mật mức CSDL. 


e _ Bảo mật mức ứng dụng. 


\ Ạ)) 


Public 
network 





Bảo vệ Bảo vệ Bảo vệ Bảo vệ Bảo vệ Bảo vệ ¬- 
mức mức mức mức mức mức Bm hà, 
Applicaton Database OS host_ thiết bị Firewall nung 


VI.4.1.I Hệ thống tường lửa dành cho EFY-CA (Firewall) 


Firewall sử dụng trong hệ thống EFY-CA thực hiện phân đoạn mạng thành các phần khác nhau 
và áp đặt các chính sách kiêm soát thông tin qua lại giữa các phân đoạn mạng đó. 
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Trước kia, khi công nghệ Firewall còn chưa phát triển, thì Firewall mới thực hiện được chức 
năng lọc gói tin ở lớp 3 gọi là packet filtering. Chức năng này có nhược điểm rất lớn là khó mở 
rộng và kiểm soát khi có nhiều chính sách được thực hiện và cũng không thích ứng với những 
ứng dụng multimedia là những loại ứng dụng thay đổi công kết nối một cách linh hoạt. 


Firewall cho EFY-CA áp dụng công nghệ Stateful Filtering là kỹ thuật cho phép lọc gói tin theo 
trạng thái. Khi sử dụng kỹ thuật này, Firewall duy trì một bảng trạng thái các. kết nối được thiết 
lập, mỗi khi có kết nói được thiết lập từ bên ngoài hay bên trong, thông tin về kết nối này được 
theo dõi và duy trì trong bảng trạng thái,thông tin này gồm có địa chỉ nguồn, địa chỉ đích, số 
công, thứ tự TCP. Các gói tin chỉ được cho phép đi qua Firewall nếu khi đối chiếu vào bảng 
trạng thái thấy khớp với các giá trị trong bảng này. 


Bên cạnh chức năng truyền thống là lọc dữ liệu (với chức năng này Firewall chỉ đọc các header 
của gói tin, không đọc phần payload), những Firewall thiết kế cho EFY-CA đều có thêm những 
tính năng chống xâm nhập trên mạng qua những lỗ hồng bảo mật ở mức ứng dụng, nhận dạng 
tấn công dựa trên cơ sở đữ liệu về tân công (gọi là signature database) và phản ứng lại các tấn 
công đó. 


VI.4.1.2 Hệ thống tường lửa ứng dụng WEB (Web Application Firewall) 


Ngoài các hệ thống Firwall để điều khiến truy cập, một trong những xu thế an ninh mạng rất phô 
biến trên thế giới tập trung vào tấn công các hệ thống Website của các cơ quan, các tổ chức, các 
doanh nghiệp và các thiết bị bảo mật thông thường rất khó phát hiện các cuộc tấn công vào công 
dịch vụ TCP 80 này. Chính vì thế giải pháp bảo mật cho hệ thống mạng của EEY-CA sử dụng 
một loại Firewall đặc chủng, chuyên dụng đề bảo vệ các máy chủ Web Server trước những nguy 
cơ rất lớn từ bên ngoài Internet vào hệ thông website. 


VI.4.1.3 Hệ thắng phát hiện và ngăn chặn tấn công (Inrusion Prevention System — IPS) 


Qua phân tích trên, hệ thống EFY-CA được thuê đặt tại DC của EFY-CA và Viettel (TIA 942 
Tier3) đã được bảo vệ, ngăn chặn các cuộc tấn công bất hợp pháp vào hệ thống máy chủ đặt tại 
DC theo quy chuẩn Quốc tế. Tuy nhiên hệ thống EFY-CA bồ sung thêm hệ thống IPS để ngăn 
chặn truy cập trái phép. Giúp quản trị hệ thống kịp thời xử lý, kết hợp với dịch vụ theo dõi lưu 
lượng đường truyền của DC để kiểm tra, phát hiện. Giải pháp IPS sử dụng ở đây là Firewall 
cứng: 


o_ Tường lửa (fñirewall) là một thiết bị mạng truyền thống trong việc bảo vệ hệ thống 
mạng. Với những thiết bị tường lửa đời đầu chủ yếu hoạt động theo kiểu Packet 
Filtering, các chính sách được thiết lập để cho phép hoặc ngăn chặn một gói tin ra/vào 
các vùng mạng do tường lửa phân tách. Nhưng trước nguy cơ an ninh mạng ngày 
càng nhiều, tường lửa UTM được ra đời nhằm giải quyết các bài toán này. 


o_ Với những thiết bj/ững dụng tường lửa truyền thống như Iptable, pfsense...hoạt động 
theo cơ chế Packet Filtering, chỉ lọc một số thông tin chính trên gói tin như địa chỉ 
nguồn, đích, port...Chứ không quan tâm nhiều đến nội dung gói tin. Cơ chế hoạt động 
đơn giản cho phép các thiết bưứng dụng tường lửa hoạt động nhanh, nhẹ nhưng lại 
không thể bảo vệ hệ thống một cách hoàn hảo. 


o_ Trên Internet hiện nay tồn tại nhiều nguy hiểm đến từ: Virus, spyware, malware...đã 
làm điêu đứng bao nhiêu người dùng, hệ thống nhờ cơ chế lây lan, lan truyền đơn 
giản. Email spam gây ra sự khó chịu cho người dùng. Malsite là những website có 
chứa mã độc. Tân công mạng dựa vào các lỗ hồng trên máy chủ, thiết bị mạng. Tấn 
công DDoS/DOS làm tê liệt hệ thống, gây nghẽn mạng làm người dùng không truy 
cập được các dịch vụ. Ứng dụng nguy hiểm là các ứng dụng được cài đặt ngầm vào 
hệ thống, gây chậm máy, đánh cắp dữ liệu... 
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o_ Với firewall hoạt động dựa theo cơ chế Packet Filtering có thể giúp người dùng bảo 
vệ hệ thông trước những nguy cơ trên không? Câu trả lời là không và tường lửa UTM 
(firewall Unified Threat Management) ra đời. Ngay từ tên gọi đã cho thấy firewall 
UTM có thể quản lý tập trung các mối nguy hiểm. Tường lửa UTM bao gồm các 
module như Antivrrus, Antispam, IPS, Applicaton Control, WebBlocker, DDoS 
Defense...giúp bảo vệ hệ thống. 


Từ những tính năng cao cấp trên. Hệ thống EFY-CA đã chọn sử dụng công nghệ Firewall UTM 
tích hợp các tính năng Antivirus, Antispam, IPS, Application Control, WebBlocker, DDoS 
Defens. Cho khả năng cấm ngay lập tức lưu thông mạng không mong muốn. Trợ giúp các điều 
tra chứng cứ để chỉ ra nguồn gốc của các cuộc tân công và phạm vi của chúng. Đơn giản hóa 
triển khai và quản trị IPS. Chống lại các nguy cơ mới thông qua dịch vụ Smart Defense Servies. 


VI.4.1.4 Hệ thống ghỉ nhật ký (log files) 


Mọi hành động, thao tác hệ thống được ghi lại nhằm mục đích theo dõi, duy trì tìm ra nguyên 
nhân sự cô khi hệ thông không hoạt động. Các nội dung sau được ghi nhật ký: 


Các sự kiên : 


Bật tắt các thành phần hệ thống và ứng dụng 

Tạo khóa và thay đôi khóa 

Các sự kiện về quản lý chu kỳ của chứng thư số : cấp phát, hủy bỏ, thu hồi,... 
Quản trị hệ thống 

Truy cập từ xa 

Tạo và xóa mật khẩu hay thay đôi đặc quyền người sử dụng 

Thay đổi nhân sự 

Các hành động truy nhập vào mạng và các hệ thống không được cấp quyền 
Lỗi trong việc đọc ghi 


Thay đổi chính sách, thời gian của chứng thư số 





VIS 


Dấu thòigian (TỉmeSfamping) 


EFY-CA chưa cung cấp dịch vụ. 
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VI-  ĐẶCTÁVÈCHÚNG THƯSÓVÀDANHSÁCHCHỨNGTHƯBỊHỦY (CRL) 





VII  Đặctvềdứnghưs 

Chứng thư có thể hiểu đơn giản một mẫu tin cung cấp nhân dạng của người sở hữu khóa công 
khai. Giống như tấm hộ chiêu hay chứng minh thư, chứng thư cung cấp bằng chứng nhận dạng 
của một người hay một thực thể. Chứng thư được kí và được lưu chuyền bởi một tô chức thứ ba 
đáng tin cậy gọi là nhà cung cấp chứng thư số - CA. Đến chừng nào mà cả người gửi và người 
nhận còn tin tưởng vào CA, thì khóa công khai của người được cấp chứng thư vẫn có giá trị 
khẳng định người đó. 


VILII Cấu trúc của chứng thưsó 


v.1, v.2, or v.3 











assigned 
by isSuer 
algorthm used 
to saqn 
distinqguished 
name of CA 
riêng validity period: 
An not before, not after 
Hash ~— — 
Funetion K=—= : m 
_ distinquished name 
Win of end user 
| Subiect Public public key value, 
Hash Key Information algorithm | 
Í Issuer | v.2, v.3 only; | 
Unique lderifier optional 
CA's Subject v.2, v.3 only; 
Private Key Unique Identifter opfional 
{ r== | lv3 only; | 
—t optional 








Slgnature 





VILI2 Cấu trúc củamộtchứng thưsố 


Các chứng thư số hiện nay được xây dựng theo chuẩn X.509, bao gồm những trường thông tin 
chính sau: 
Phiên bản: phiên bản của chứng thư số, ví dụ: X.509 v1, v2 hoặc v3. 
Số serial: một số duy nhất (ID) để nhận dạng chứng thư số này so với những chứng thư số 
khác của CA. 
Chữ kí: số nhận dạng (ID) của các thuật toán đã dùng đề tạo chữ kí số lên chứng thư SỐ, 
cùng các tham sô được sử dụng trong các thuật toán đó. VD: OID là sô nhận dạng của thuật 
toán SHA-I kêt hợp với RSA. Điêu này chỉ ra răng, một giá trị băm được tạo ra từ thuật toán 
SHA-I1, sau đó được mã hóa bởi thuật toán RSA, sinh ra chữ kí sô trên chứng thư sô này. 
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Người phát hành (Issuer): Tên phân biệt của CA đã phát hành chứng thư số này (bao gồm 
các thông tin như: Tên nước, tên thành phô, tên địa phương, tên tô chức, tên đơn vị, tên 
thường gọi, địa chỉ emaIl ...). Trường nảy luôn phải có. 
Hiệu lực (Validity): Khoảng thời gian có hiệu lực của chứng thư số. 
Chủ thể (Subjecf): Tên phân biệt của người sở hữu chứng thư số. Trường này không được 
đê trông trừ khi có một trường khác như trường Mở rộng (Extension) thay thê. 
Thông tin về khóa công khai của chủ thể (Subject Khóa công khai Info): khoá công khai 
của chủ thê và ID của các thuật toán mã hóa đã sử dụng. Trường này luôn phải có. 
Số ID của người phát hành (Issuer Unique ID): chỉ có ở phiên bản 2 và 3. 
Số ID của chủ thê (Subject Unique ID): chỉ có ở phiên bản 2 và 3. 
Trường mở rộng: chỉ có ở phiên bản 3, bao gồm những thông tin như: Authority Key 
Identifier, SubJect Key Identifier, Key Usage, Extended Key Usage, CRL Distributlon Point, 
Pr4ate Key Usage Period, Certificate Policies, Policy Mappings, SubJect Alternat‡e Name, 
Issuer Alternat4e Name, SubJect Directory Attributes, Basic Constraints, Name ConsftraInts, 
Policy Constraints, Inhibit Any Policy, Freshest CRL Pointer, AuthorIty Information Access, 
SubJect Information Access. 
Chữ kí số của CA lên chứng thư. 
L————_———-——_—————————— —_—_—_—T_— —————————. 
VI2  Đặctivêdanhsáchchúnthưsôbjhủy 


- Giá trị 







Phiên bản của CRL 





Thuật toán để ký CRL 


Được khuyến nghị trong RFC2560. 
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VII-  KIỀMĐỊNHTÍNHTUÂNTHỦVÀCÁC ĐÁNHGIÁ KHÁC 

EFY-CA sẽ tiến hành kiểm toán định kỳ nhằm đảm bảo việc tuân thủ các tiêu chuẩn của dịch vụ 
EFY-CA sau khi đi vào hoạt động. 


Bên cạnh đó, các tiêu chuẩn của dịch vụ EFY-CA sẽ được dùng để tiến hành đánh giá và thanh 
tra nhằm đảm bảo tính trung thực của EFY-CA, bao gồm những điều sau: 


Các tiêu chuẩn của dịch vụ EFY-CA sẽ được dùng đề thanh tra hay đánh giá EFY-CA, hay thuê 
bao là các doanh nghiệp. Trong trường hợp EFY-CA hoặc Superior Entity được kiểm tra và kết 
quả cho thấy các thực thể không đạt các tiêu chuẩn của dịch vụ EFY-CA, sẽ được tiếp tục hoạt 
động hoặc không được hoạt động tuỳ thuộc vào mức độ và hậu quả của tôn thất gây ra. Những 
lỗi hay những tồn thất, cho thấy mối đe doạ tiềm ẩn và thực sự đối với an ninh hay tính toàn vẹn 
của EFY-CA. 


Các tiêu chuẩn của dịch vụ EFY-CA sẽ được dùng để tiễn hành các đánh giá về quản lý rủi ro bổ 
sung của chính EFY-CA hay của thuê bao theo những phát hiện về việc không tuân thủ đầy đủ 
hoặc có những ngoại lệ trong kết quả cuộc kiểm toán quá trình tuân thủ và đó cũng là một phần 
của quá trình quản lý rủi ro tổng thể. 

Các tiêu chuẩn của dịch vụ EFY-CA sẽ được dùng để tiến hành kiểm toán, đánh giá và thanh tra 
các thực thể hoặc hãng kiểm toán đóng vai trò là bên thứ 3. Các thực thể chịu sự kiểm toán, đánh 
giá và thanh tra sẽ phải hợp tác với EFY-CA để tiến hành kiểm toán, đánh giá và thanh tra này. 





VIII  Tầnsgátvàcáctrnghopđánhgiá 

Các cuộc kiêm soát quá trình tuân thủ được tiến hành ít nhất mỗi năm một lần với chi phí phụ 
thuộc về thực thể được kiểm toán. 

VILII Danh tính và khả năng của người kiểm toán 

Hãng kiểm toán đóng vai trò là bên thứ 3 sẽ tiến hành kiểm toán quá trình tuân thủ của EFY-CA. 
Việc đánh giá và kiểm toán trên lại được kiểm tra bởi một công ty kế toán nhà nước đã được cấp 
chứng thư trong sự giám định của an ninh máy tính hoặc bởi các chuyên gia có uy tín về an ninh 
máy tính do ban cô vấn an ninh chỉ định. Công ty này cũng sẽ phải giám định về an ninh công 
nghệ thông tin và việc thực hiện PKI. 

VII12 Mối quanhệ giữa kiểm toán viên và thực thể được kiểm toán 

Việc kiểm toán mà được thực hiện bởi hãng kiểm toán đóng vai trò là bên thứ 3 sẽ được tiền 
hành kiểm tra bởi các hãng độc lập với thực thể được kiểm toán. Sẽ không có bất kì sự tranh cãi 
nào về lợi ích gây cản trở tới việc thực hiện các dịch vụ kiểm toán. 

VIIL13 Những đối tượng trong quá trình đánh giá 

Chủ thể kiểm toán của mỗi loại thực thê sẽ được đưa ra như dưới đây. Thực thê được kiểm tra có 
thê tiến hành kiểm toán việc thực hiện theo một mô mình là một phần của cuộc kiểm tra tổng thể 


hàng năm về hệ thống thông tin của thực thể. 
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EFY-CA sẽ được kiểm toán dựa theo những hướng dẫn có trong các tuyên bố số 70 về chuẩn 
kiểm toán (SAS) do Viện kế toán công chứng Hoa Kỳ (American Institule of Certificate Public 
Accounts) đưa ra và các báo cáo về quá trình giao dịch của các tô chức dịch vụ. 

VILI.4 Giải quyết khi kết quả bị đánh giá là thiếu sót. 

Sau khi nhận được báo cáo kiểm toán, SE của thực thể được kiểm toán sẽ liên lạc với bên kiểm 
toán đề thảo luận về những trường hợp ngoại lệ và những thiếu sót mà kết quả cuộc kiểm toán 
chỉ ra. Các tiêu chuẩn của dịch vụ EFY-CA sẽ được sử dụng đề thảo luận về những trường hợp 
ngoại lệ và những thiết sót với bên kiểm toán. Thực thể được kiểm toán và SE sẽ dùng những nỗ 
lực thương mại để thoả thuận kế hoạch hành động đúng đắn để giải quyết các vấn đề do các 
trường hợp ngoại lệ và thiếu sót gây ra và đề thực hiện kế hoạch đó. 


Trong trường hợp bên thực thê được kiểm toán thất bại trong việc đưa ra một kế hoạch hành 
động hoặc thất bại trong việc thực hiện nó, hoặc nếu bản báo cáo chỉ ra những ngoại lệ và những 
thiếu sót mà EFY-CA và SE tin rằng chúng là mối đe doạ tức thì tới an ninh và tính thống nhất 
của EFY-CA: 


(a) EFY-CA và SE sẽ khẳng định có cần thiết phải thu hồi hay thoả hiệp báo cáo hay 
không. 
(b) EFY-CA và SE sẽ được phép tạm dừng dịch vụ đề tiến hành kiểm toán 
(c) Nếu cần thiết, EFY-CA và SE có thể sẽ chấm dứt dịch vụ và những điều khoản trong 
hợp đồng giữa thực thể được kiểm toán và SE của nó. 
VIILI15 Thông báo kếtquả 
Theo như bất kì một cuộc kiểm toán nào thì bên thực thể được kiểm toán sẽ cung cấp cho EFY- 
CA bản báo cáo và các chứng nhận hàng năm dựa trên kết quả kiểm toán hoặc tự kiểm toán 
trong vòng 14 ngày sau khi kết thúc kiểm toán hoặc không quá 44 ngày sau ngày bắt đầu các 
hoạt động. 
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IX- CÁCVÁNĐÈ THƯƠNGMẠI VÀ PHÁPLÝ KHÁC 





J1 Lệphí 

Phí duy trì dịch vụ hệ thống kiểm tra trạng thái chứng thư số tuân theo quy định tại thông tư 
17/2018/TT-BTC ngày 09/02/2018 của Bộ Tài chính sử đổi, bổ sung một số điều của Thông tư 
số 305/2016/TT-BTC và Thông tư số 305/2016/TT-BTC của Bộ Tài chính quy định mức thu, 
chê độ thu, nộp, quản lý và sử dụng phí dịch vụ duy trì hệ thông kiêm tra trạng thái chứng thư sô. 


IX.II  Lệphí cấp Chứng thư hoặc gia hạn Chứng thư 

Khách hàng sử dụng dịch vụ EFY-CA phải trả phí khi xin cấp chứng thư, quản lý và tạo mới 
chứng thư cho nhà cung cấp. 

IXI2 — Lệphísửdụng Chứng thư 

Các thuê bao của dịch vụ EFY-CA và RA không phải trả phí để tạo ra kho chứng thư hay dịch vụ 
cung cấp thông tin chứng thư trực tuyến cho đối tác tin cậy. 

IX.13  Phítruy cập thông tin về trạng thái chứng thư và việc thu hồi chứng thư. 

Các thành phần tham gia dịch vụ EFY-CA không phải trả phí cho việc tạo ra các CRLs. Tuy 
nhiên CA được trả phí khi cung cấp các dịch vụ CRLs, OCSP hoặc các dịch vụ thu hồi giá trỊ gia 
tăng, dịch vụ cung cấp thông tin trạng thái khác. 

IX.I1.4 Lệ phísử dụng cho các dịch vụ khác 

Các thành phần tham gia dịch vụ EFY-CA không phải trả phí khi truy cập Quy chế chứng thực. 
Việc sử dụng văn bản với các mục đích khác như sao chép, phân bồ lại, sửa chữa hoặc tạo mới 
các công viên phát sinh sẽ phải tuân theo thoả thuận hợp pháp với người đang nắm giữ bản 
quyền của văn bản này. 

IXI5  Chínhsách hoàn trả phí 

EFY-CA sẽ đưa ra phạm vi cho việc áp dụng chính sách hoàn trả phí. Chính sách này sẽ được 
đưa lên website (bao gồm một danh sách các kho đữ liệu), hoặc đưa vào bản thoả thuận với 


khách hàng hay đưa vào trong bản CPS. 


magnagaœẶẶẮẮaaœœœœœaaa 
JX2 Tráhnhệmtichnh 
IX2I Bảohim 
EFY-CA sẽ duy trì tính thương mại hợp lý cho các mức bảo hiểm đối với các lỗi hay thiếu sót, 
hoặc thông qua các chương trình bảo hiểm lỗi hay thiếu sót với các hãng bảo hiểm hoặc tự cam 
kết bảo hiểm. Các yêu cầu bảo hiểm này không áp dụng với các tô chức chính trị. 
IX.2.I.1 Các trường hợp EFY-CA tiễn hành đền bù bảo hiểm và mức đền bù bảo hiểm 
EFY-CA tiến hành đền bù bảo hiểm cho các trường hợp sau: 
e© Lỗi do CA gây ra, bao gồm lỗi kỹ thuật khi phát hành chứng thư theo trách nhiệm 
của CA. 
e EFY-CA đưa ra các mức đền bù bảo hiểm theo các mức bảo hiểm chứng thư khác 


nhau. 
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e_ Việc đề bù bảo hiểm thực hiện theo đúng hợp đồng với thuê bao. 
IX.2.1L2 Các trường hợp không được hưởng đền bù bảo hiểm 
EFY-CA sẽ không chịu trách nhiệm trong các trường hợp: 


e Các trường hợp sử dụng chứng thư không được đề cập đến trong CP, CPS. 
e Các trường hợp giả mạo xử lý chứng thư. 
e_ Các trường hợp sử dụng, cấu hình thiết bị không phù hợp, không nằm trong trách 
nhiệm của CA được sử dụng trong quá trình xử lý chứng thư. 
e_ Khóa bí mật bị mất, bị phá huỷ do khách hàng. 
e _ Khách hàng đánh mất hoặc đề lộ code PIN bảo vệ khoá bí mật. 
e© Lỗi của RA, bao gồm lỗi xác thực việc nhận biết dữ liệu, số chứng thư, giá trị 
khoá công khai, RA không gửi yêu cầu phù hợp... Khi có lỗi xảy ra, RA sẽ chịu 
hoàn toàn trách nhiệm với khách hàng.Việc đề bù được thực hiện theo hợp đồng 
với thuê bao. 
IX22 — Cáctàisản khác 
EFY-CA có quyền tự chủ tài chính để duy trì hoạt động và thực hiện các nhiệm vụ của mình, 
đồng thời có trách nhiệm pháp lý đối với các rủi ro cho thuê bao và các đối tác tin cậy. 
IX23 Thông tn bảo đảm mở rộng. 
EFY-CA đưa ra chương trình bảo đảm mở rộng cung cấp các SSL và bảo vệ chữ ký số không bị 
mất hay phá huỷ từ những thiếu sót trong quá trình cấp chứng nhận hoặc từ việc vi phạm hợp 
đồng. EFY-CA đưa ra các chương trình bảo đảm mở rộng được yêu cầu trong CPS. 


X3  Tínhbảomậtciathôngtnkmhdonh 

IX.43I Phạm vi của thông tin cần bảo mật 

Những dữ liệu sau của thuê bao, như đề cập đến ở mục 9.3.2 sẽ được đảm bảo tính mật và riêng 
tư (“thông tin mật/riêng tư”) 


e_ Các dữ liệu CA, đuợc phê chuẩn hoặc không được phê chuẩn 

e_ Các dữ liệu đơn xin cấp chứng thư 

e_ Các khóa bí mật của thuê bao doanh nghiệp sử dụng hệ thống quản lý khoá công 
khai và các thông tin cần thiết để khôi phục các khoá này. 

e_ Các dữ liệu chuyên đổi (dữ liệu đầy đủ và các dữ liệu kiểm toán của quá trình 
chuyền đổi). 

e_ Các dữ liệu kiểm toán tạo hoặc lưu giữ bởi EFY-CA hoặc một thuê bao. 

e_ Các báo cáo kiểm toán tạo bởi EFY-CA hay thuê bao (cho việc đánh giá những 
báo cáo này), hoặc những kiểm toán viên (nội bộ hoặc là bên ngoài). 

e_ Các dự án khôi phục do tai nạn hay khôi phục sau thảm hoạ. 

e Quản lý mức độ an ninh trong hoạt động của phần cứng, phần mềm, các quản trị 


viên của dịch vụ chứng thư và của các dịch vụ khác. 


IX432_ Thôngtiỉnkhông nằm trong phạm vỉ của quá trình đảm bảo tính mật 
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Chứng thư, thu hồi chứng thư và các thông tin về trạng thái của chứng thư, nơi lưu giữ của EFY- 
CA cùng các thông tin chứa bên trong không được coi là các thông tin mật/riêng tư. Các thông 
tin không được xem là mật/riêng tư trong mục 9.3.1 sẽ không riêng tư hoặc không bí mật. Phần 
này tuân theo luật riêng tư. 

IX.343 Trách nhiệm bảo vệ thông tin mật 

EFY-CA đảm bảo an ninh cho các thông tin riêng tư không bị tiết lộ với bên thứ 3. 
mm-aa“đẶẶaœœaaa 

X4  Tnhbímậtciathôngncánhân 

IX4I — Kếhoạch đảm bảo tính riêng tr 

EFY-CA sẽ tiến hành triển khai chính sách đảm bảo tính riêng , tuân theo luật riêng tư, EFY-CA 
sẽ không tiết lộ tên hay bất cứ một thông tin nào về các đơn xin cấp chứng thư của thuê bao ra 
bên ngoài. 

IX42 — Thôngtinriêngtư 

Tắt cả những thông tin về thuê bao không được công bồ công khai, bao gồm chứng thư bao hành, 
danh mục chứng thư và các CRL trực tuyến được coi là thông tin riêng tư. 

IX43 Thông tin không riêng tư 

Tắt cả các thông tin được công khai trong chứng thư được coi như không phải là thông tin riêng 
tư. 

IX.44 Trách nhiệm bảo vệ thông tin riêng tư 

Những người tham gia vào dịch vụ EFY-CA nhận các thông tin mật phải đảm bảo tính mật cho 
những thông tin này không bị tiết lộ với bên thứ 3 và phải tuân theo những luật riêng tư trong 
phạm vi quyền hạn của mình. 

IX.445 Thông báo và cho phép sử dụng thông tin mật 

Theo luật riêng tư hay theo thoả thuận, các thông tin riêng tư sẽ không được sử dụng mà không 
có sự cho phép của người sở hữu những thông tin này. Phần này tuân theo luật từng riêng tư. 
IX.46 Cung cấp thôngtinmật theo yêu cầu của luật pháp hay cho quá trình quản trị 

EFY-CA sẽ được phép công bố những thông tin mật/riêng tư nếu: 

e Quá trình công bố là cần thiết khi có yêu cầu của toà án và tìm kiếm thông tin xác 
nhận. 

e Quá trình công bố là cần thiết đáp ứng yêu cầu của toà án, quá trình quản trị hay 
các quá trình liên quan đến luật pháp, các hoạt động quản lý như thâm vấn của toà 
án, yêu cầu xác nhận, yêu cầu cho quá trình tạo tài liệu. 

IX.47 Những trường hợp làm lộ thông tin khác 
Những chính sách riêng tư bao gồm các điều khoản liên quan đến việc tiết lộ các thông tin bí 


mật/riêng. 
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Xã  Quyờsởhũutíuệ 
IX.5I  Quyềnsởhữu trong chứng thư và thông tin thu hồi chứng thư. 
CA có tất cả quyền sở hữu liên quan đến chứng thư và các thông tin thu hồi chứng thư mà họ đã 
ban hành. EFY-CA và khách hàng cho phép tái tạo và phân phối chứng thư mà không cần trả 
phí, với điều kiện chúng được tái tạo toàn bộ sử dụng chứng thư tuân theo thoả thuận với đối tác 
tin cậy. EFY-CA và khách hàng cũng cho phép đối tác tin cậy sử dụng các thông tin thu hồi để 
thực hiện chức năng của mình tuân theo thoả thuận sử dụng CRL, thoả thuận với đối tác tin cậy 
hay các thoả thuận thích hợp khác. 
IX52 — QuyềnsởhữutrongCPS 
Các bên liên quan trong dịch vụ EFY-CA chấp nhận rằng EFY-CA có quyền sở hữu đối với CPS 
và các điều khoản ghi trong CPS. 
IX53  Quyềnsớhữu(ên 
Người đăng ký chứng thư có quyền sở hữu đối với thương hiệu, tên dịch vụ trong các đơn xin 
cấp chứng thư , và với tên phân biệt (distinguished name) trong chứng thư cấp. 
IX.54  Quyềnsở hữu khoá và các tài liệu của khoá 
Cặp khoá tương ứng với chứng thư của CA và thuê bao là tài sản của CA và thuê bao và được 
lưu trữ bảo vệ theo quyền sở hữu trí tuệ. 
E—---=--------------—ẼễẼễẼŸẼEEẼ:ẽ 
IJX6  VắnđềđạiđệnvàbáoBnh 
IX.6.I Đại diệncủa CA và vấn đề bảo lãnh 
Dịch vụ EFY-CA bảo đảm: 

e Không có những thông tin không phù hợp với thực tế trong chứng thư. 

e_ Không có thiếu sót ở các thông tin trong chứng thư. 

e Chứng thư của CA phù hợp với yêu cầu trong CP và CPS. 

e_ Dịch vụ thu hồi chứng thư và sử dụng kho lưu trữ phù hợp với tiêu chuẩn trong 

CP và CPS. 

Thoả thuận với khách hàng có thể có thêm các tuyên bố và cam kết khác. 
IX.62 Đại diện của RA và vấn đề bảo lãnh 
Các RA của dịch vụ EFY-CA bảo đảm: 

e Không có những thông tin không phù hợp với thực tế trong chứng thư. 

e_ Không có thiếu sót ở các thông tin trong chứng thư. 

e Những chứng thư của RA tuân theo các yêu cầu trong CPS này. 

e_ Dịch vụ thu hồi chứng thư và sử dụng kho lưu trữ phù hợp với tiêu chuẩn trong 

CPS. 
Thoả thuận với khách hàng có thể có thêm các tuyên bố và cam kết khác. 
IX.63 Đại diện của khách hàng và sự bảo lãnh 
Khách hàng cam kết rằng: 
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e_ Mỗi chữ ký số được tạo sử dụng khoá bí mật tương ứng với khoá công khai liệt kê 
trong chứng thư là chữ ký điện tử của khách hàng. Chứng thư được chấp nhận và hoạt 
động (khi chưa hết hạn hay bị thu hồi) trong thời gian chữ ký số này được tạo. 

e Khoá bí mật được bảo vệ và người không có thắm quyền không thể truy cập vào khoá 
này. 


e_ Tất cả các cam kết được đưa ra bởi khách hàng trong đơn xin cấp chứng thư là đúng 


sự thật. 

e Tất cả những thông tin cung cấp bởi khách hàng và chứa bên trong chứng thư là đúng 
sự thật. 

e Chứng thư được sử dụng cho các mục đích hợp pháp và tuân theo những yêu cầu 
trong CPS. 


e Khách hàng là thuê bao cuối và không phải là một CA, không được phép sử dụng 
khoá bí mật kết hợp với bất kì khoá công khai nào được liệt kê trong chứng thư cho 
các mục đích ký SỐ, hay đưa ra CRL, như là một CA. 

Thoả thuận khách hàng có thê có thêm các tuyên bố và cam kết khác. 

IX64 Đại diện cho các đối tác tin cậy và vấn đề bảo lãnh 

Thoả thuận với đối tác tin cậy yêu cầu đối tác tin cậy phải có đủ thông tin để đưa ra một quyết 
định dựa vào các thông tin trong chứng thư. Họ có trách nhiệm quyết định tin tưởng hay không 
vào các thông tin trong chứng thư. Relying Rartles có trong CPS. 

Thoả thuận về bên đối tác có thể bao gồm thêm các tuyên bố và cam kết khác. 

Trách nhiệm pháp lý của đối tác tin cậy sẽ được thiết lập trong hợp đồng đối tác tin cậy. 


IX7  Vắnđềbồthường 
IX7.I Vấn đềbồi thường của khách hàng 
Khi pháp luật yêu cầu, khách hàng phải bồi thường cho EFY-CA nếu xuất hiện: 
e _ Những thông tin không hợp lệ do khách hàng cung cấp trên đơn xin cấp chứng thư. 
e Lỗi của khách hàng đề lộ những nhân tố, yếu tố liên quan đến đơn xin cấp chứng thư, 
sự bỏ sót do sự cầu thả hay với mục đích lừa đảo. 
e© Lỗi của khách hàng trong việc bảo vệ khóa bí mật, sử dụng hệ thống tin cậy, hoặc 
không thực hiện các biện pháp phòng ngừa cần thiết để tránh gây hậu quả. 
e_ Việc sử dụng tên của khách hàng (kế cả việc không giới hạn tên chung, tên miễn, 
hoặc địa chỉ thư điện tử) vi phạm quyền sở hữu trí tuệ của bên thứ 3. 
Hợp đồng với khách hàng có thể có những bồ sung phù hợp. 
IX72 Vấn đềbồi thường của các đối tác tin cậy 
Khi được pháp luật cho phép, bản thỏa thuận với đối tác tin cậy sẽ yêu cầu bồi thường cho EFY- 
CA hay các thành phần tham gia dịch vụ EFY-CA như CA và RA vì: 


e_ Lỗi của đối tác tin cậy trong việc thực thi bốn phận của một bên đôi tác 
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e©_ Sự tin cậy của đối tác về một chứng thư không được đáp ứng trong một số trường 
hợp. 
e Lỗi của đối tác tin cậy trong việc kiểm tra trạng thái của chứng thư để xác định chứng 
thư đã hết hạn hay bị thu hồi. 
Thỏa thuận với đối tác tin cậy sẽ bao gồm thêm một số nghĩa vụ khác. 


IX§  Thòihạmmvàsrkếthúc 

IXSI  Thòihạn 

CPS bắt đầu có hiệu lực khi được công bố từ kho lưu trữ của dịch vụ EFY-CA. Các điều sửa đổi 
bô sung cho CPS này cũng bắt đâu có hiệu lực khi có sự công bô từ kho lưu trữ của dịch vụ 
EFY-CA. 

IX%2  Sựkếtthúc 

CPS này được bổ sung, sửa đôi sẽ vẫn giữ hiệu lực cho đến khi được thay thế bởi một văn bản 
mƠI. 

IX.83 Ảnh hưởng củasự kết thúc và những tồn tại 

Khi CPS hết hiệu lực, các thành phần của dịch vụ EFY-CA sẽ không bị giới hạn bởi các điều 
khoản còn hiệu lực của chứng thư đã được ban hành. 





IX9  Thôngbáorênvàthỏathuậngiũacácbên 

EFY-CA sử dụng các biện pháp thương mại để giao thiệp giữa các bên, hoặc sử dụng các thỏa 
thuận trong hợp đồng ký kết khi một điều khoản nào đó được ghi rõ trong hợp đồng. 

IX9I  Sựsửa đổi 

IX.91.1 Các thủ tục sửa đi 

Những sửa đổi của CPS sẽ được thực hiện bởi Cấp quản lý chính sách có thâm quyền của EFY- 
CA. Những điều sửa đổi có thể ở dạng tài liệu chứa tất cả những điều sửa đổi cho CPS hoặc ở 
dạng cập nhật. 

IX.9.1.2 Các trường hợp cân sửa đổi nhận diện đối tượng (01D) 

Nếu cần thiết, EFY-CA có thể thay đối OID cho các chính sách chứng thư tương ứng với từng 
cấp chứng thư. Nếu không, việc sửa đồi sẽ không bao gồm việc sửa đôi OID. 

IX.9.I3 Cách thức và thời hạn thông báo 

EFY-CA có quyền quyết định việc thay đổi là cần thiết hay không cần thiết. 

EFY-CA tập hợp những thay đổi về CPS từ các thành phần tham gia vào dịch vụ EFY-CA. Nếu 
EFY-CA cho rằng một sự thay đôi nào đó nên làm thì sẽ đề xuất thực hiện sự thay đôi đó. EFY- 
CA sẽ đưa ra thông báo về sự thay đổi đó phù hợp với mục này. 


Trái ngược với một số điều trong CPS, nếu EFY-CA cho rằng sự thay đôi CPS là cần thiết để 
ngăn chặn sự xâm phạm đến an toàn của dịch vụ EFY-CA, EFY-CA có quyền thay đôi CPS. 
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Công bồ về sự thay đổi sẽ ngay lập tức có hiệu lực. Sau khi công bố, EFY-CA sẽ thông báo tới 
các bên liên quan. 
A._ Thời điểm đưa ra sự sửa đổi 
Thời gian sửa đối là 15 ngày kế từ ngày được công bồ trên kho lưu trữ của dịch vụ EFY-CA. Bất 
kỳ ai tham gia vào dịch vụ EFY-CA cũng có quyền đề xuất ý kiến tới EFY-CA cho đến lúc hết 
thời gian sửa đổi. 
B. Cơ chế xử lý các sửa đổi 
EFY-CA sẽ xem xét tất cả các đề xuất liên quan đến vấn đề sửa đôi bổ sung. EEY-CA có thể: 

(a) Cho phép các đề xuất có hiệu lực mà không cần sửa đồi. 

(b) Sửa đổi các đề xuất và tái bản nếu cần. 

(c) Hủy bỏ những đề xuất sửa đôi. 
EFY-CA có quyền hủy bỏ các đề xuất sửa đổi, và đưa ra ghi chú trong phần tài liệu về “Cập 
nhật và các ghi chú thực thi” của EFY-CA. Những sửa đôi có hiệu lực sau khi hết hạn sửa đổi. 


IXIU  Thủtetranhdiấp 

IX.101 Thủ tục tranh chấp giữa EFY-CA, cộng tác và thuê bao 

Việc giải quyết tranh chấp giữa EFY-CA, các bên và thuê bao phải tuân thủ theo các điều khoản 
được ghi trong hợp đồng. 

IX.102 Thủ tục tranh chấp giữa thuê bao và đối tác tỉn cậy 

Những tranh chấp có liên quan đến dịch vụ EFY-CA yêu cầu thời gian đàm phán là 60 ngày, sau 
đó có thê được đưa lên toà án có đủ quyền để xử lý. 


IXII Luậftquintị 

Tuân theo luật của nước CHXHCN Việt Nam và luật Thương mại điện tử của Việt Nam, các đối 
tượng sẽ bị cưỡng chế thực hiện, xây dựng, giải thích và hợp lệ hóa CPS này, không quan tâm tới 
sự lựa chọn các văn bản luật khác, và không yêu cầu thiết lập mối quan hệ thương mại ở Việt 
Nam. Việc lựa chọn luật này nhằm đảm bảo tính thống nhất của các thủ tục và giải thích cho 
những người tham gia dịch vụ EFY-CA, bắt kế họ ở đâu. 


CPS nảy tùy thuộc vào hệ thống các điều luật, quy tắc, các điều chỉnh, quy định, các sắc lệnh và 
mệnh lệnh thuộc phạm vi địa phương, bang, quốc gia, nhưng không giới hạn hay hạn chế trong 
lĩnh vực xuất khâu hay nhập khẩu phần mềm, phần cứng và các thông tin kỹ thuật. 

IXIII Sự trân thủ luật 

CPS nảy tùy thuộc vào hệ thống các điều luật, quy tắc, các điều chỉnh, quy định, các sắc lệnh và 
mệnh lệnh thuộc phạm vi địa phương, bang, quốc gia, nhưng không giới hạn hay hạn chế cho 
lĩnh vực xuất khâu phần mềm, phần cứng và các thông tin kỹ thuật. 


IX.IILII Trách nhiệm 


Trách nhiệm của các bên được quy định và giới hạn theo hợp đồng đã ký kết. 
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IX.IILI2 Tính độc lập của các điều khoản 

Trong trường hợp một điều khoản hay sự sửa đổi bố sung của CPS được giữ lại không thẻ thi 
hành được bởi một phiên tòa hay một cuộc xét xử có thâm quyền, phần còn lại của CPS vẫn có 
hiệu lực. 

IX.IILI3 Sự thực thi (quyền ủy nhiệm và quyền khưóc từ) 


Bắt kỳ một bên nào chiếm ưu thế trong những tranh cãi nảy sinh ngoài hợp đồng đều được quyền 
ủy nhiệm hoặc quyền khước từ do sự vi phạm một trong các điều khoản trong hợp đồng. 


IX.IIL4 Chính sách bắt buộc thực thi 


Trong phạm vi luật pháp cho phép, thỏa thuận của thuê bao và thỏa thuận bên liên quan bắt buộc 
phải tuân theo các điều khoản bảo vệ dịch vụ EFY-CA. 
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